{"id":103000,"date":"2022-01-18T15:36:39","date_gmt":"2022-01-18T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10"},"modified":"2022-01-18T15:36:39","modified_gmt":"2022-01-18T13:36:39","slug":"%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","title":{"rendered":"Ver\u00f6ffentlichung von hostapd und wpa_supplicant 2.10.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nach anderthalb Jahren Entwicklung wurde die Version 2.10 von hostapd\/wpa_supplicant ver\u00f6ffentlicht. Dieses Set unterst\u00fctzt die Funktionen der drahtlosen Protokolle IEEE 802.1X, WPA, WPA2, WPA3 und EAP. Es besteht aus der Anwendung wpa_supplicant, die als Client eine Verbindung zu drahtlosen Netzwerken herstellt, und dem Hintergrundprozess hostapd, der f\u00fcr den Betrieb von Access Points und Authentifizierungsservern zust\u00e4ndig ist. Zu den Komponenten geh\u00f6ren der WPA Authenticator, der RADIUS-Client\/Server zur Authentifizierung sowie der EAP-Server. Der Quellcode des Projekts wird unter der BSD-Lizenz verbreitet. <\/p>\n
Neben funktionalen \u00c4nderungen in der neuen Version wurde ein neuer Angriffsvektor \u00fcber Seitenkan\u00e4le blockiert, der die Methode zur Aushandlung von Verbindungen SAE (Simultaneous Authentication of Equals) und das EAP-pwd-Protokoll betrifft. Ein Angreifer, der die M\u00f6glichkeit hat, nicht privilegierten Code auf dem System eines Benutzers auszuf\u00fchren, der sich mit einem drahtlosen Netzwerk verbindet, kann durch die \u00dcberwachung der Systemaktivit\u00e4t Informationen \u00fcber die Merkmale des Passworts erhalten und diese zur Erleichterung der Passwortnutzung im Offline-Modus verwenden. Das Problem wird durch Datenleaks \u00fcber Seitenkan\u00e4le verursacht, die Informationen \u00fcber die Passwortmerkmale preisgeben. Diese erm\u00f6glichen es, durch indirekte Hinweise, wie z. B. die \u00c4nderung der Verz\u00f6gerungen bei der Ausf\u00fchrung von Operationen, die Richtigkeit der Auswahl von Teilen des Passworts w\u00e4hrend des Vorgangs der Passwortermittlung zu best\u00e4tigen. <\/p>\n
Im Gegensatz zu \u00e4hnlichen Problemen, die 2019 behoben wurden, resultiert die neue Schwachstelle daraus, dass die externen kryptografischen Primitiven in der Funktion crypto_ec_point_solve_y_coord() keine konstante Ausf\u00fchrungszeit boten, unabh\u00e4ngig von der Art der verarbeiteten Daten. Durch die Analyse des Verhaltens des Prozessor-Caches konnte ein Angreifer, der die M\u00f6glichkeit hatte, unprivilegierten Code im gleichen CPU-Kern auszuf\u00fchren, Informationen \u00fcber den Fortschritt der Passwortoperationen in SAE\/EAP-pwd erlangen. Alle Versionen von wpa_supplicant und hostapd, die mit Unterst\u00fctzung f\u00fcr SAE (CONFIG_SAE=y) und EAP-pwd (CONFIG_EAP_PWD=y) kompiliert wurden, sind betroffen. <\/p>\n
Weitere \u00c4nderungen in den neuen Versionen von hostapd und wpa_supplicant: <\/p>\n
\n
Die M\u00f6glichkeit zur Kompilierung mit der kryptografischen Bibliothek OpenSSL 3.0 wurde hinzugef\u00fcgt.\n
Der in der Spezifikationsaktualisierung vorgeschlagene Mechanismus zur Beaconschutz wurde implementiert, um sich gegen aktive Angriffe auf das WLAN zu sch\u00fctzen, die die \u00c4nderung von Beacon-Frames manipulieren.\n
Es wurde die Unterst\u00fctzung f\u00fcr das DPP 2-Protokoll (Wi-Fi Device Provisioning Protocol) hinzugef\u00fcgt, welches ein Verfahren zur Authentifizierung \u00fcber \u00f6ffentliche Schl\u00fcssel definiert, das im WPA3-Standard verwendet wird, um die einfache Einrichtung von Ger\u00e4ten ohne Bildschirm-Interface zu erm\u00f6glichen. Die Einrichtung erfolgt unter Verwendung eines anderen, fortschrittlicheren Ger\u00e4ts, das bereits mit dem drahtlosen Netzwerk verbunden ist. Zum Beispiel k\u00f6nnen die Parameter f\u00fcr ein IoT-Ger\u00e4t ohne Bildschirm \u00fcber ein Smartphone festgelegt werden, basierend auf einem QR-Code, der auf dem Geh\u00e4use gedruckt ist.\n
Es wurde die Unterst\u00fctzung f\u00fcr erweiterte Schl\u00fcssel-IDs (Extended Key ID, IEEE 802.11-2016) hinzugef\u00fcgt.\n
In die Implementierung des SAE-Verbindungsprotokolls wurde die Unterst\u00fctzung f\u00fcr den SAE-PK-Schutzmechanismus (SAE Public Key) integriert. Der Modus zur sofortigen Best\u00e4tigung wurde aktiviert und kann mit der Option «sae_config_immediate=1» aktiviert werden. Ebenfalls implementiert ist der Hash-to-Element-Mechanismus, der bei der Einstellung des Parameters sae_pwe auf die Werte 1 oder 2 aktiviert wird.\n
In die Implementierung von EAP-TLS wurde die Unterst\u00fctzung f\u00fcr TLS 1.3 hinzugef\u00fcgt (standardm\u00e4\u00dfig deaktiviert).\n
Neue Einstellungen (max_auth_rounds, max_auth_rounds_short) wurden hinzugef\u00fcgt, um die Limits der Anzahl von EAP-Nachrichten w\u00e4hrend des Authentifizierungsprozesses anzupassen (\u00c4nderungen der Limits k\u00f6nnen erforderlich sein, wenn sehr gro\u00dfe Zertifikate verwendet werden).\n
Unterst\u00fctzung f\u00fcr das PASN-Verfahren (Pre Association Security Negotiation) hinzugef\u00fcgt, um eine sichere Verbindung herzustellen und den Austausch von Steuerrahmen in der fr\u00fchen Verbindungsphase zu sch\u00fctzen.\n
Der Mechanismus 'Transition Disable' wurde implementiert, um die Sicherheit zu erh\u00f6hen, indem der Roaming-Modus automatisch deaktiviert wird, der das Wechseln zwischen Access Points w\u00e4hrend der Bewegung zul\u00e4sst.\n
Die Standard-Builds schlie\u00dfen die Unterst\u00fctzung f\u00fcr das WEP-Protokoll aus (f\u00fcr die Wiederherstellung der WEP-Unterst\u00fctzung ist ein Rebuild mit der Option CONFIG_WEP=y erforderlich). Veraltete Funktionen im Zusammenhang mit dem IAPP-Protokoll (Inter-Access Point Protocol) wurden entfernt. Unterst\u00fctzung f\u00fcr libnl 1.1 wurde eingestellt. Eine Build-Option CONFIG_NO_TKIP=y wurde hinzugef\u00fcgt, um einen Build ohne TKIP-Unterst\u00fctzung zu erm\u00f6glichen.\n
Sicherheitsanf\u00e4lligkeiten in der UPnP-Implementierung (CVE-2020-12695), im P2P\/Wi-Fi Direct-Handler (CVE-2021-27803) und im PMF-Schutzmechanismus (CVE-2019-16275) wurden behoben.\n
Zu den spezifischen \u00c4nderungen f\u00fcr hostapd geh\u00f6rt die erweiterte Unterst\u00fctzung f\u00fcr HEW (High-Efficiency Wireless, IEEE 802.11ax) einschlie\u00dflich der Nutzung des Frequenzbereichs von 6 GHz.\n
\u00c4nderungen, die spezifisch f\u00fcr wpa_supplicant sind:\n
\n
Unterst\u00fctzung f\u00fcr die Konfiguration des Access Point-Modus f\u00fcr SAE (WPA3-Personal) hinzugef\u00fcgt.\n
F\u00fcr EDMG-Kan\u00e4le (IEEE 802.11ay) wurde Unterst\u00fctzung f\u00fcr den P2P-Modus implementiert.\n
Verbesserte Prognose der Bandbreite und Auswahl von BSS.\n
Neuer Backend f\u00fcr die Speicherung von Passw\u00f6rtern in einer separaten Datei hinzugef\u00fcgt, um vertrauliche Informationen aus der Hauptkonfigurationsdatei auszulagern.\n
Neue Richtlinien f\u00fcr SCS, MSCS und DSCP hinzugef\u00fcgt. <\/ul>\n<\/ul>\n