Efter to og et halvt års udvikling er version 2.11 af hostapd/wpa_supplicant offentliggjort. Dette sæt sikrer driften af de trådløse protokoller IEEE 802.1X, WPA, WPA2, WPA3 og EAP. Sættet inkluderer applikationen wpa_supplicant for at forbinde til et trådløst netværk som klient, samt baggrundsprocessen hostapd til at sikre drift af adgangspunktet og autentificeringsserveren, herunder komponenter som WPA Authenticator, klient/server RADIUS-autentificering og EAP-server. Kildeteksterne for projektet distribueres under BSD-licensen.
Væsentlige ændringer i de nye versioner af hostapd og wpa_supplicant:
- Indført indledende support for Wi-Fi 7 (EHT/IEEE 802.11be) og forbedret support for Wi-Fi 6 (HE/IEEE 802.11ax).
- Tilføjet support for tredje version af DPP-protokollen (Device Provisioning Protocol), almindeligvis kendt som 'Wi-Fi Easy Connect', samt muligheden for at overføre Wi-Fi-indstillinger via DPP. DPP gør det muligt at forenkle opsætningen af trådløse enheder uden skærmgrænseflade ved hjælp af en anden mere avanceret enhed, der allerede er tilsluttet det trådløse netværk. DPP baseres på autentificering via offentlige nøgler, for eksempel kan indstillinger for en IoT-enhed uden skærm angives fra en smartphone baseret på scanning af en QR-kode, der er trykt på enheden og koder den offentlige nøgle.
- Tilføjet support for ændringer af API'en, foreslået i kryptografibiblioteket OpenSSL 3.0.
- I implementeringen af EAP-SIM (Extensible Authentication Protocol — Subscriber Identity Module) og EAP-AKA (Extensible Authentication Protocol — Authentication and Key Agreement) protokoller, er der kommet support for mekanismen for at sikre anonymiteten af abonnentens mobilnetværksidentifikator, hvilket forhindrer afsløring af IMSI ved tilslutning til adgangspunktet.
- Tilføjet support for SAE AKM (Simultaneous Authentication of Equals — Authentication and Key Management) driftsmetoder med variable nøglelængder.
- Tilføjet support for en variant af AKM (Authentication and Key Management) baseret på SHA384-hashes.
- I implementeringen af PASN-mekanismen (Pre Association Security Negotiation), der anvendes til at etablere en sikker forbindelse og beskytte udvekslingen af kontrolrammer i de tidlige faser af tilslutning, er der tilføjet support for teknologien 'secure ranging' for sikkert at bestemme afstanden mellem to Wi-Fi-enheder.
- Tilføjet støtte til USD (Unsynchronized Service Discovery)-mekanismen, som forenkler opdagelsen af tjenester af trådløse enheder.
- Tilføjet støtte til eksplicit beskyttelse af SSID under en firetrins forbindelseforhandling. Beskyttelsen aktiveres ved at bruge indstillingen «ssid_protection=1» og blokkerer sårbarheden CVE-2023-52424, som muliggør tilslutning til et mindre sikkert trådløst netværk.
- Ændringer specifikke for hostapd:
- Tilføjet støtte til baggrundsregistrering af interferens fra radarssystemer, der opererer i de samme frekvensbånd (ved registrering skifter den til andre frekvenser). Derudover tilføjet støtte til CAC (Channel Availability Check)-mekanismen, der er beregnet til at lytte til kanalen før brug for at kontrollere dens tilgængelighed af radar-systemet.
- I implementeringen af SAE (Simultaneous Authentication of Equals)-forbindelsesforhandling er muligheden for at anmode om adgangskode fra RADIUS-serveren blevet tilføjet.
- Tilføjet støtte til ACL (Access-Control List)- og PSK (Pre-Shared Key)-kontroller ved brug af RADIUS-protokollen under forbindelseforhandlingen (wpa_psk_radius=3).
- I implementeringen af ACS (Automatic Channel Selection)-mekanismen er der taget højde for båndbredde og typer af kanaler ved valg af den anvendte kanal.
- Udvidet støtte til brug af flere BSSID (Basic Service Set Identifier)-identifikatorer på én adgangspunkt for at muliggøre drift af virtuelle trådløse netværk.
- Tilføjet grundlæggende støtte til brug af TLS til kryptering af forespørgsler via RADIUS-protokollen.
- Ændringer specifikke for wpa_supplicant:
- I implementeringen af MACsec (IEEE 802.1AE)-standarden, der giver midler til at beskytte datakanalen, er muligheden for at bruge GCM-AES-256-krypteringssæt blevet tilføjet samt støtte til hardwareacceleration ved at flytte operationerne til netværksadapteren.
- For TLSv1.3 er understøttelsen af EAP-TLS forbedret.
- Styrket beskyttelse mod DoS-angreb ved brug af PMF (Protected Management Frames).
- Forbedret roaming mellem AKM (Authentication and Key Management) ved valg af SME/BSS (Service Management Entity/Basic Service Set)-driver.
- Givet mulighed for at bruge PASN (Protected Access Secure Negotiation)-mekanismen med eksterne programmer.
- Tilføjet støtte til brug af forudgenererede MAC-adresser (mac_addr=3) i stedet for at generere en tilfældig MAC til hvert net.
- Som standard er anden fase af autentifikation (phase2_auth=1) aktiveret for protokollen EAP-PEAP, hvilket indebærer autentifikation af klienten inden for en sikker tunnel.
- Udvidet support for MSCS-teknologi (Multi-Streaming Channel Switching), som muliggør enhedens skift mellem flere kanaler.
- Udvidet support for SCS-teknologi (Spatial Channel Switching) til prioriteret behandling af vigtig trafik ved brug af QoS.
Kilde: opennet.ru
