Пуск на hostapd и wpa_supplicant 2.11, реализации на стека за безжични протоколи

След две години и половина разработки беше публикувано издание на hostapd/wpa_supplicant 2.11, пакет за поддръжка на безжични протоколи IEEE 802.1X, WPA, WPA2, WPA3 и EAP. В пакета е включено приложението wpa_supplicant за свързване към безжичната мрежа в роля на клиент и фоновия процес hostapd за осигуряване на работа на точката за достъп и аутентификационния сървър, включващ компоненти като WPA Authenticator, клиент/сървър за аутентификация RADIUS, сървър EAP. Изходните кодове на проекта се разпространяват под лиценцията BSD.

Основни промени в новите версии на hostapd и wpa_supplicant:

• Добавена е начална поддръжка за Wi-Fi 7 (EHT/IEEE 802.11be) и подобрена поддръжка за Wi-Fi 6 (HE/IEEE 802.11ax).
• Добавена е поддръжка за трета версия на протокола DPP (Device Provisioning Protocol), известен също като „Wi-Fi Easy Connect“, както и възможност за прехвърляне на настройки на Wi-Fi чрез DPP. Протоколът DPP предоставя опция за опростено настройване на безжични устройства без интерфейс на екрана, използвайки друго по-напреднало устройство, вече свързано към безжичната мрежа. DPP се основава на използването на аутентикация с публични ключове, например, параметрите за IoT устройство без екран могат да бъдат зададени от смартфон на базата на QR код, отпечатан на корпуса, и кодиращ публичния ключ.
• Добавена е поддръжка на промени в API, предложени в клона на криптографската библиотека OpenSSL 3.0.
• В реализацията на аутентификационните протоколи EAP-SIM (Extensible Authentication Protocol — Subscriber Identity Module) и EAP-AKA (Extensible Authentication Protocol — Authentication and Key Agreement) е добавена поддръжка на механизъм за осигуряване на конфиденциалност на идентификатора на абоната в мобилната мрежа, включващ защита на IMSI при свързване към точка за достъп.
• Добавена е поддръжка на режимите на работа на SAE AKM (Simultaneous Authentication of Equals — Authentication and Key Management) с променливи размери на ключовете.
• Добавена е поддръжка на варианта на AKM (Authentication and Key Management), основан на хешове SHA384.
• В реализацията на механизма PASN (Pre Association Security Negotiation), използван за установяване на защитена връзка и защита на обмена на управляващи кадри в ранния етап на свързване, е осигурена поддръжка на технологията „secure ranging“ за сигурно определяне на разстоянието между две Wi-Fi устройства.
• Добавена е поддръжка на механизма USD (Unsynchronized Service Discovery), който улеснява откриването на услуги от безжични устройства.
• Добавена е поддръжка на явна защита на SSID при четиристепенна процедура за свързване. Защитата се активира чрез опцията «ssid_protection=1» и блокира уязвимостта CVE-2023-52424, която позволява свързване към по-малко защитена безжична мрежа.
• Промените, специфични за hostapd:
  • Добавена е поддръжка за фоново откриване на смущения от радарни системи, работещи в същите честотни диапазони (при откриване се извършва превключване на други честоти). Също така е добавена поддръжка на механизма CAC (Channel Availability Check), предназначен за прослушване на канала преди използването му с цел проверка на заетостта от радарната система.
  • В реализацията на метода за съгласуване на връзки SAE (Simultaneous Authentication of Equals) е добавена възможност за искане на парола от RADIUS-сървъра.
  • Добавена е поддръжка за проверки на ACL (Access-Control List) и PSK (Pre-Shared Key) с използване на протокола RADIUS по време на съгласуването на връзката (wpa_psk_radius=3).
  • В реализацията на механизма ACS (Automatic Channel Selection) при избора на използван канал е осигурен отчет на пропускната способност и типовете канали.
  • Разширена е поддръжката за използването на няколко идентификатора BSSID (Basic Service Set Identifier) на една точка за достъп, за да се осигури функционирането на виртуални безжични мрежи.
  • Добавена е начална поддръжка за използване на TLS за криптиране на заявки по протокола RADIUS.
• Промени, специфични за wpa_supplicant:
  • В реализацията на стандарта MACsec (IEEE 802.1AE), който предоставя средства за защита на канала за предаване на данни, е предоставена възможност за използване на набора шифри GCM-AES-256 и е добавена поддръжка за хардуерно ускорение чрез изнасяне на операциите на страната на мрежовия адаптер.
  • За TLSv1.3 е подобрена поддръжката на EAP-TLS.
  • Укрепена е защитата срещу DoS атаки при използване на PMF (Protected Management Frames).
  • Подобрено е роумингът между AKM (Authentication and Key Management) при избора на SME/BSS (Service Management Entity/Basic Service Set) -драйвер.
  • Предоставена е възможност за използване на механизма PASN (Protected Access Secure Negotiation) с външни програми.
  • Добавена е поддръжка за използване на предварително генерирани MAC-адреси (mac_addr=3) вместо генериране на случаен MAC за всяка мрежа.
  • По подразбиране е включено използването на втората фаза на автентикация (phase2_auth=1) за протокола EAP-PEAP, която предвижда автентикация на клиента вътре в защитен тунел.
  • Разширена поддръжка на технологията MSCS (Multi-Streaming Channel Switching), която позволява на устройството да превключва между няколко канала.
  • Разширена поддръжка на технологията SCS (Spatial Channel Switching) за приоритетна обработка на важен трафик при използване на QoS.

Източник: opennet.ru