Nach zweieinhalb Jahren Entwicklung wurde die Version 2.11 von hostapd/wpa_supplicant veröffentlicht, einem Set zur Unterstützung der drahtlosen Protokolle IEEE 802.1X, WPA, WPA2, WPA3 und EAP. Das Set umfasst die Anwendung wpa_supplicant für die Verbindung zu einem drahtlosen Netzwerk als Client und den Hintergrundprozess hostapd zur Bereitstellung eines Access Points und eines Authentifizierungsservers, der Komponenten wie WPA Authenticator, RADIUS-Client/Server-Authentifizierung und EAP-Server umfasst. Der Quellcode des Projekts wird unter der BSD-Lizenz verteilt.
Wesentliche Änderungen in den neuen Versionen von hostapd und wpa_supplicant:
- Erste Unterstützung für Wi-Fi 7 (EHT/IEEE 802.11be) hinzugefügt und die Unterstützung für Wi-Fi 6 (HE/IEEE 802.11ax) verbessert.
- Es wurde Unterstützung für die dritte Version des DPP-Protokolls (Device Provisioning Protocol), umgangssprachlich als „Wi-Fi Easy Connect“ bekannt, hinzugefügt. Außerdem wurde die Möglichkeit geschaffen, WLAN-Parameter über DPP zu übertragen. Das DPP-Protokoll ermöglicht eine vereinfachte Konfiguration von drahtlosen Geräten ohne grafische Benutzeroberfläche, indem ein anderes, bereits mit dem WLAN verbundene, fortschrittlicheres Gerät verwendet wird. DPP basiert auf der Verwendung von Schlüsselauthentifizierung, beispielsweise können Parameter für ein IoT-Gerät ohne Bildschirm über ein Smartphone vergeben werden, basierend auf einem QR-Code, der auf dem Gehäuse aufgedruckt ist und den öffentlichen Schlüssel codiert.
- Unterstützung für die Änderungen der API, die im Branch der kryptografischen Bibliothek OpenSSL 3.0 vorgeschlagen wurden, wurde hinzugefügt.
- In der Implementierung der Authentifizierungsprotokolle EAP-SIM (Extensible Authentication Protocol — Subscriber Identity Module) und EAP-AKA (Extensible Authentication Protocol — Authentication and Key Agreement) wurde Unterstützung für einen Mechanismus zur Gewährleistung der Vertraulichkeit der Identität des Mobilfunkteilnehmers hinzugefügt, der die Offenlegung der IMSI beim Verbindung zu einem Zugangspunkt vermeidet.
- Die Unterstützung für SAE AKM-Betriebsmodi (Simultaneous Authentication of Equals – Authentifizierung und Schlüsselverwaltung) mit variabler Schlüssellänge wurde hinzugefügt.
- Die Unterstützung für die AKM-Variante (Authentifizierung und Schlüsselverwaltung) basierend auf SHA384-Hashes wurde hinzugefügt.
- Im Implementierungsmechanismus PASN (Pre Association Security Negotiation), der zum Aufbau einer sicheren Verbindung und zum Schutz des Austauschs von Steuerrahmen in der frühen Verbindung genutzt wird, wurde die Unterstützung der Technologie „secure ranging“ für eine sichere Bestimmung der Entfernung zwischen zwei Wi-Fi-Geräten gewährleistet.
- Die Unterstützung des Mechanismus USD (Unsynchronized Service Discovery), der das Entdecken von Diensten durch drahtlose Geräte erleichtert, wurde hinzugefügt.
- Die Unterstützung der expliziten SSID-Schutz bei der vierstufigen Verbindungsvereinbarung wurde hinzugefügt. Der Schutz wird durch die Option „ssid_protection=1“ aktiviert und blockiert die Schwachstelle CVE-2023-52424, die eine Verbindung zu einem weniger geschützten drahtlosen Netzwerk ermöglicht.
- Änderungen, die spezifisch für hostapd sind:
- Unterstützung für die Hintergrunderkennung von Störungen durch Radarsysteme, die im gleichen Frequenzbereich arbeiten, wurde hinzugefügt (bei der Erkennung erfolgt ein Wechsel zu anderen Frequenzen). Außerdem wurde die Unterstützung des Mechanismus CAC (Channel Availability Check) eingeführt, der dazu dient, den Kanal vor der Nutzung zu überwachen, um seine Belegung durch das Radarsystem zu überprüfen.
- In der Implementierung der SAE-Methode (Simultaneous Authentication of Equals) gibt es jetzt die Möglichkeit, ein Passwort beim RADIUS-Server anzufordern.
- Unterstützung für ACL (Access-Control List) und PSK (Pre-Shared Key) Prüfungen unter Verwendung des RADIUS-Protokolls während der Verbindungsvereinbarung wurde hinzugefügt (wpa_psk_radius=3).
- Bei der Implementierung des ACS-Mechanismus (Automatic Channel Selection) wird bei der Auswahl des verwendeten Kanals die Bandbreite und die Typen der Kanäle berücksichtigt.
- Die Unterstützung für die Nutzung mehrerer BSSID-Identifikatoren (Basic Service Set Identifier) an einem Zugangspunkt wurde erweitert, um den Betrieb virtueller drahtloser Netzwerke zu gewährleisten.
- Erste Unterstützung für die Verwendung von TLS zur Verschlüsselung von Anfragen über das RADIUS-Protokoll wurde hinzugefügt.
- Änderungen, die spezifisch für wpa_supplicant sind:
- Im Rahmen des MACsec-Standards (IEEE 802.1AE), der Mittel zum Schutz des Datenübertragungskanals bereitstellt, steht die Verwendung des GCM-AES-256 Chiffriersatzes zur Verfügung, und die Hardwarebeschleunigung wurde durch das Auslagern von Operationen auf den Netzwerkadapter hinzugefügt.
- Die Unterstützung von EAP-TLS wurde für TLSv1.3 verbessert.
- Der Schutz vor DoS-Angriffen wurde bei der Verwendung von PMF (Protected Management Frames) verstärkt.
- Das Roaming zwischen AKM (Authentication and Key Management) bei der Auswahl von SME/BSS (Service Management Entity/Basic Service Set) wurde verbessert.
- Die Möglichkeit zur Nutzung des PASN (Protected Access Secure Negotiation) Mechanismus mit externen Programmen wurde bereitgestellt.
- Die Unterstützung für die Verwendung von im Voraus generierten MAC-Adressen (mac_addr=3) anstelle der Generierung einer zufälligen MAC-Adresse für jedes Netzwerk wurde hinzugefügt.
- Die Verwendung der zweiten Phase der Authentifizierung (phase2_auth=1) für das EAP-PEAP-Protokoll, die die Authentifizierung des Clients innerhalb eines geschützten Tunnels beinhaltet, ist standardmäßig aktiviert.
- Die Unterstützung der MSCS (Multi-Streaming Channel Switching) Technologie wurde erweitert, die es dem Gerät ermöglicht, zwischen mehreren Kanälen zu wechseln.
- Die Unterstützung der SCS (Spatial Channel Switching) Technologie wurde erweitert, um wichtige Datenströme bei der Verwendung von QoS priorisiert zu verarbeiten.
Quelle: opennet.ru
