Po roce a půl vývoje byl připraven vydání hostapd/wpa_supplicant 2.10, souboru pro podporu bezdrátových protokolů IEEE 802.1X, WPA, WPA2, WPA3 a EAP, skládajícího se z aplikace wpa_supplicant pro připojení k bezdrátové síti jako klient a na pozadí běžícího procesu hostapd pro zajištění funkce přístupového bodu a autentizačního serveru, zahrnujícího komponenty jako WPA Authenticator, klient/server autentizace RADIUS, server EAP. Zdrojové kódy projektu jsou distribuovány pod licencí BSD.
Kromě funkčních změn v nové verzi byl zablokován nový vektor útoku přes boční kanály, který se dotýká metody vyjednávání spojení SAE (Simultaneous Authentication of Equals) a protokolu EAP-pwd. Útočník, který má schopnost spouštět neprivilegovaný kód na systému uživatele připojujícího se k bezdrátové síti, může sledováním aktivity v systému získat informace o charakteristikách hesla a použít je k usnadnění výběru hesla v offline režimu. Problém je způsoben únikem informací o charakteristikách hesla přes boční kanály, které umožňují na základě nepřímých údajů, jako jsou změny zpoždění při provádění operací, upřesnit správnost volby částí hesla během jeho výběru.
Na rozdíl od podobných problémů vyřešených v roce 2019, nové zranitelnosti je způsobena tím, že externí kryptografické primitiva používané ve funkci crypto_ec_point_solve_y_coord() nezajišťují konstantní čas realizace operací, který by nebyl závislý na povaze zpracovávaných dat. Na základě analýzy chování procesorové cache mohl útočník, který má možnost spouštět neprivilegovaný kód na stejném jádru procesoru, získat informace o průběhu provádění operací se znakem v SAE/EAP-pwd. Problém se týká všech verzí wpa_supplicant a hostapd, které byly postaveny s podporou SAE (CONFIG_SAE=y) a EAP-pwd (CONFIG_EAP_PWD=y).
Další změny v nových vydáních hostapd a wpa_supplicant:
- Byla přidána možnost sestavit s kryptografickou knihovnou OpenSSL 3.0.
- Byl implementován navržený mechanismus Beacon Protection ve specifikaci WPA3, určený na ochranu před aktivními útoky na bezdrátovou síť, manipulujícími se změnami Beacon rámců.
- Byla přidána podpora protokolu DPP 2 (Wi-Fi Device Provisioning Protocol), který určuje metodu autentizace pomocí veřejných klíčů použitou ve standardu WPA3 pro zjednodušené nastavování zařízení bez obrazovky. Nastavení se provádí pomocí jiného, pokročilejšího zařízení, které je již připojeno k bezdrátové síti. Například parametry pro IoT zařízení bez obrazovky lze nastavit pomocí smartphonu na základě QR kódu vytištěného na jeho těle;
- Byla přidána podpora rozšířených identifikátorů klíčů (Extended Key ID, IEEE 802.11-2016).
- Do implementace metody vyjednávání spojení SAE byla přidána podpora mechanismu ochrany SAE-PK (SAE Public Key). Byla realizována funkce okamžitého zasílání potvrzení, která se aktivuje volbou „sae_config_immediate=1“, a také mechanismus hash-to-element, který se aktivuje při nastavení parametru sae_pwe na hodnoty 1 nebo 2.
- Do implementace EAP-TLS byla přidána podpora TLS 1.3 (standardně vypnuta).
- Byly přidány nové nastavení (max_auth_rounds, max_auth_rounds_short) pro změnu limitů počtu EAP zpráv v procesu autentizace (změna limitů může být potřebná při použití velmi velkých certifikátů).
- Byla přidána podpora mechanismu PASN (Pre Association Security Negotiation) pro zřízení zabezpečeného spojení a ochranu výměny řídicích rámců v dřívější fázi připojení.
- Byl realizován mechanismus Transition Disable, který umožňuje pro zvýšení bezpečnosti automaticky vypnout roamingový režim, který umožňuje přepínání mezi přístupovými body během pohybu.
- Podpora protokolu WEP byla v základních sestaveních vyloučena (pro obnovení podpory WEP je potřeba přeinstalace s volbou CONFIG_WEP=y). Byla odstraněna zastaralá funkčnost spojená s protokolem IAPP (Inter-Access Point Protocol). Byla ukončena podpora libnl 1.1. Byla přidána možnost sestavení CONFIG_NO_TKIP=y pro sestavení bez podpory TKIP.
- Byly odstraněny zranitelnosti v implementaci UPnP (CVE-2020-12695), v obslužném programu P2P/Wi-Fi Direct (CVE-2021-27803) a mechanismu ochrany PMF (CVE-2019-16275).
- Ze specifických změn pro hostapd je třeba zmínit rozšířenou podporu bezdrátových sítí HEW (High-Efficiency Wireless, IEEE 802.11ax), včetně možnosti použití frekvenčního pásma 6 GHz.
- Změny specifické pro wpa_supplicant:
- Byla přidána podpora nastavení režimu přístupového bodu pro SAE (WPA3-Personal).
- Pro kanály EDMG (IEEE 802.11ay) byla realizována podpora režimu P2P.
- Bylo vylepšeno předpovídání šířky pásma a výběr BSS.
- Bylo rozšířeno rozhraní pro správu přes D-Bus.
- Byl přidán nový backend pro ukládání hesel do samostatného souboru, který umožňuje oddělit citlivé informace od hlavního konfiguračního souboru.
- Byly přidány nové politiky pro SCS, MSCS a DSCP.
Zdroj: opennet.ru
