Efter halvandet år med udvikling er udgivelsen af hostapd/wpa_supplicant 2.10 klar, et sæt til understøttelse af trådløse protokoller IEEE 802.1X, WPA, WPA2, WPA3 og EAP, der består af applikationen wpa_supplicant til tilslutning til et trådløst netværk som klient og baggrundsprocessen hostapd til at sikre drift af adgangspunktet og autentificeringsserveren, som inkluderer komponenter som WPA Authenticator, RADIUS klient/server autentificering, EAP server. Kildekoderne til projektet distribueres under BSD-licensen.
Udover funktionsændringer i den nye version er der blokkeret en ny angrebsvektor via sidekanaler, der påvirker metoden til forhandling af forbindelser SAE (Simultaneous Authentication of Equals) og EAP-pwd-protokollen. En angriber, der har mulighed for at udføre ikke-privilegeret kode på brugerens system, som tilslutter sig det trådløse netværk, kan ved at overvåge systemaktiviteten få oplysninger om karakteristikaene for adgangskoden og bruge dem til at lette gætningen af adgangskoden i offline-tilstand. Problemet skyldes lækage af oplysninger om adgangskodens karakteristika via sidekanaler, som gør det muligt at præcisere rigtigheden af de valgte dele af adgangskoden under gætningen baseret på indirekte data, såsom ændringer i forsinkelser ved udførelse af operationer.
I modsætning til lignende problemer, der blev løst i 2019, skyldes den nye sårbarhed, at de eksterne kryptografiske primitiv, der anvendes i funktionen crypto_ec_point_solve_y_coord(), ikke sikrede konstant udførelsestid, uafhængigt af arten af de behandlede data. Baseret på analyse af CPU-cache-adfærd kunne en angriber, der havde mulighed for at køre ikke-privilegeret kode på samme CPU-kerne, få oplysninger om udførelsen af operationer med adgangskoden i SAE/EAP-pwd. Problemet påvirker alle versioner af wpa_supplicant og hostapd, der er bygget med støtte for SAE (CONFIG_SAE=y) og EAP-pwd (CONFIG_EAP_PWD=y).
Andre ændringer i de nye udgivelser af hostapd og wpa_supplicant:
- Muligheden for at bygge med den kryptografiske biblioteks OpenSSL 3.0 er tilføjet.
- Den i opdateringen af WPA3-specifikationen foreslåede mekanisme Beacon Protection er implementeret, beregnet til at beskytte mod aktive angreb på det trådløse netværk, der manipulerer ændringen af Beacon-rammer.
- Der er tilføjet support for DPP 2 (Wi-Fi Device Provisioning Protocol), som definerer en metode til autentificering ved hjælp af offentlige nøgler, anvendt i WPA3-standarden til nem konfiguration af enheder uden skærmgrænseflade. Konfigurationen udføres ved hjælp af en anden, mere avanceret enhed, der allerede er tilsluttet det trådløse netværk. For eksempel kan indstillinger for en IoT-enhed uden skærm angives med en smartphone baseret på et QR-kodebillede, trykt på enhedens krop;
- Der er tilføjet support for udvidede nøgleidentifikatorer (Extended Key ID, IEEE 802.11-2016).
- Implementeringen af SAE-forbindelseshåndteringsmetoden har fået tilføjet support for SAE-PK (SAE Public Key) beskyttelsesmekanismen. Den øjeblikkelige bekræftelsesfunktion er aktiveret via indstillingen «sae_config_immediate=1», samt hash-to-element-mekanismen, der aktiveres ved at sætte parameteren sae_pwe til værdierne 1 eller 2.
- EAP-TLS-implementeringen har fået tilføjet support for TLS 1.3 (deaktiveret som standard).
- Nye indstillinger (max_auth_rounds, max_auth_rounds_short) er tilføjet for at ændre grænserne for antallet af EAP-beskeder under autentificeringsprocessen (ændring af grænserne kan være nødvendig, når der bruges meget store certifikater).
- Der er tilføjet support for PASN (Pre Association Security Negotiation)-mekanismen til oprettelse af en sikker forbindelse og beskyttelse af kontrolrammeudvekslingen på det tidlige stadie af tilslutning.
- Der er implementeret en Transition Disable-mekanisme, der automatisk deaktiverer roamingtilstand for at styrke sikkerheden, hvilket tillader skift mellem adgangspunkter under bevægelse.
- Support for WEP-protokollen er ekskluderet fra standardbygningerne (for at genindføre support for WEP kræves en genopbygning med indstillingen CONFIG_WEP=y). Forældet funktionalitet relateret til IAPP-protokollen (Inter-Access Point Protocol) er fjernet. Support for libnl 1.1 er ophørt. En byggeindstilling CONFIG_NO_TKIP=y er tilføjet til opbygning uden support for TKIP.
- Sårbarheder i implementeringen af UPnP (CVE-2020-12695), i P2P/Wi-Fi Direct-behandleren (CVE-2021-27803) og PMF-beskyttelsesmekanismen (CVE-2019-16275) er blevet afhjulpet.
- Blandt de hostapd-specifikke ændringer kan nævnes udvidet support for HEW (High-Efficiency Wireless, IEEE 802.11ax) trådløse netværk, inklusive muligheden for at bruge 6 GHz frekvensbåndet.
- Ændringer specifikke for wpa_supplicant:
- Der er tilføjet support for AP-tilstandsindstillinger for SAE (WPA3-Personal).
- For EDMG-kanaler (IEEE 802.11ay) er der implementeret support for P2P-tilstand.
- Forbedret kapacitetsprognose og valg af BSS.
- Udvidet administrationsgrænseflade via D-Bus.
- Tilføjet en ny backend til opbevaring af adgangskoder i en separat fil, der muliggør at adskille følsomme oplysninger fra den primære konfigurationsfil.
- Nye politikker til SCS, MSCS og DSCP er blevet tilføjet.
Kilde: opennet.ru
