Po dvou a půl letech vývoje byl zveřejněn hostapd/wpa_supplicant 2.11, sada nástrojů pro zajištění funkcí bezdrátových protokolů IEEE 802.1X, WPA, WPA2, WPA3 a EAP. Součástí této sady je aplikace wpa_supplicant pro připojení k bezdrátové síti v roli klienta a na pozadí běžící proces hostapd pro zajištění funkce přístupového bodu a serveru autentizace, zahrnující prvky jako WPA Authenticator, klient/server autentizaci RADIUS a server EAP. Zdrojové kódy projektu jsou distribuovány pod licencí BSD.
Hlavní změny v nových verzích hostapd a wpa_supplicant:
- Byla přidána základní podpora pro Wi-Fi 7 (EHT/IEEE 802.11be) a vylepšena podpora pro Wi-Fi 6 (HE/IEEE 802.11ax).
- Byla přidána podpora třetí verze protokolu DPP (Device Provisioning Protocol), známého jako "Wi-Fi Easy Connect", a byla poskytnuta možnost přenosu parametrů s nastavením Wi-Fi pomocí DPP. Protokol DPP umožňuje zjednodušené nastavení bezdrátových zařízení bez displeje pomocí jiného pokročilejšího zařízení, které je již připojeno k bezdrátové síti. DPP je založen na využití autentizace s otevřenými klíči, například parametry pro IoT zařízení bez obrazovky lze nastavit pomocí smartphonu na základě QR kódu vytištěného na zařízení, který kóduje otevřený klíč.
- Byla přidána podpora změn API navržených v větvi kryptografické knihovny OpenSSL 3.0.
- V implementaci autentizačních protokolů EAP-SIM (Extensible Authentication Protocol – Subscriber Identity Module) a EAP-AKA (Extensible Authentication Protocol – Authentication and Key Agreement) byla přidána podpora mechanismu zajištění ochrany identifikátoru mobilní sítě, který vylučuje zveřejnění IMSI při připojení k přístupovému bodu.
- Byla přidána podpora provozních režimů SAE AKM (Simultaneous Authentication of Equals – Authentication and Key Management) s proměnlivou velikostí klíčů.
- Byla přidána podpora varianty AKM (Authentication and Key Management) založené na hashích SHA384.
- V implementaci mechanismu PASN (Pre Association Security Negotiation), používaného pro korektní zajištění připojení a ochrany výměny řídících rámců v rané fázi připojení, byla zajištěna podpora technologie "secure ranging" pro bezpečné určení vzdálenosti mezi dvěma Wi-Fi zařízeními.
- Byla přidána podpora mechanismu USD (Unsynchronized Service Discovery), který zjednodušuje objevování služeb bezdrátovými zařízeními.
- Byla přidána podpora explicitní ochrany SSID při čtyřfázovém schvalování připojení. Ochrana se zapíná pomocí možnosti „ssid_protection=1“ a blokuje zranitelnost CVE-2023-52424, která umožňuje připojení k méně chráněné bezdrátové síti.
- Změny specifické pro hostapd:
- Byla přidána podpora pozadí detekce rušení radarovými systémy, které pracují ve stejných frekvenčních pásmech (při detekci se provádí přepnutí na jiné frekvence). Dále byla přidána podpora mechanismu CAC (Channel Availability Check), určeného pro sledování kanálu před jeho použitím za účelem ověření jeho obsazenosti radarovým systémem.
- V implementaci metody schvalování spojení SAE (Simultaneous Authentication of Equals) se objevila možnost požádat o heslo ze serveru RADIUS.
- Byla přidána podpora kontrol ACL (Access-Control List) a PSK (Pre-Shared Key) využívajícího protokol RADIUS během schvalování připojení (wpa_psk_radius=3).
- V implementaci mechanismu ACS (Automatic Channel Selection) byl při výběru použitého kanálu zohledněn propustnost a typy kanálů.
- Byla rozšířena podpora používání více identifikátorů BSSID (Basic Service Set Identifier) na jednom přístupovém bodu pro zajištění provozu virtuálních bezdrátových sítí.
- Byla přidána počáteční podpora používání TLS pro šifrování požadavků pomocí protokolu RADIUS.
- Změny specifické pro wpa_supplicant:
- V implementaci standardu MACsec (IEEE 802.1AE), který poskytuje prostředky pro ochranu přenosového kanálu, byla poskytnuta možnost použití sady šifer GCM-AES-256 a byla přidána podpora hardwarového zrychlení prostřednictvím vyčlenění operací na síťový adaptér.
- Pro TLSv1.3 byla vylepšena podpora EAP-TLS.
- Byla posílena ochrana proti DoS útokům při používání PMF (Protected Management Frames).
- Byl vylepšen roaming mezi AKM (Authentication and Key Management) při výběru SME/BSS (Service Management Entity/Basic Service Set) ovladačem.
- Byla poskytnuta možnost použití mechanismu PASN (Protected Access Secure Negotiation) s externími programy.
- Byla přidána podpora používání předem vygenerovaných MAC adres (mac_addr=3) namísto generování náhodné MAC adresy pro každou síť.
- Ve výchozím nastavení je aktivováno použití druhé fáze autentizace (phase2_auth=1) pro protokol EAP-PEAP, který zahrnuje autentizaci klienta v rámci zabezpečeného tunelu.
- Byla rozšířena podpora technologie MSCS (Multi-Streaming Channel Switching), která umožňuje zařízení přepínat mezi několika kanály.
- Byla rozšířena podpora technologie SCS (Spatial Channel Switching) pro prioritní zpracování důležitého provozu při použití QoS.
Zdroj: opennet.ru
