{"id":103000,"date":"2022-01-18T15:36:39","date_gmt":"2022-01-18T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10"},"modified":"2022-01-18T15:36:39","modified_gmt":"2022-01-18T13:36:39","slug":"%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","title":{"rendered":"Ver\u00f6ffentlichung von hostapd und wpa_supplicant 2.10.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nach anderthalb Jahren Entwicklung wurde die Version 2.10 von hostapd\/wpa_supplicant ver\u00f6ffentlicht, einem Satz zur Unterst\u00fctzung von drahtlosen Protokollen wie IEEE 802.1X, WPA, WPA2, WPA3 und EAP. Dieser besteht aus der wpa_supplicant-Anwendung zum Verbinden mit einem drahtlosen Netzwerk als Client und einem Hintergrundprozess hostapd zur Bereitstellung eines Access Points und eines Authentifizierungsservers, einschlie\u00dflich Komponenten wie WPA Authenticator, RADIUS-Client\/Server-Authentifizierung und EAP-Server. Der Quellcode des Projekts wird unter der BSD-Lizenz ver\u00f6ffentlicht. <\/p>\n
Neben funktionalen \u00c4nderungen in der neuen Version wurde ein neuer Angriffsvektor \u00fcber Seitenkan\u00e4le blockiert, der die Verbindungs-Handshake-Methode SAE (Simultaneous Authentication of Equals) und das EAP-pwd-Protokoll betrifft. Ein Angreifer, der die M\u00f6glichkeit hat, nicht privilegierten Code auf dem System eines Benutzers auszuf\u00fchren, der sich mit einem drahtlosen Netzwerk verbindet, kann durch das Verfolgen von Aktivit\u00e4ten im System Informationen \u00fcber die Merkmale des Passworts erhalten und diese verwenden, um die Passwortsuche im Offline-Modus zu erleichtern. Das Problem wird durch das Leaken von Informationen \u00fcber die Merkmale des Passworts \u00fcber Seitenkan\u00e4le verursacht, die es erm\u00f6glichen, indirekte Hinweise, wie Verz\u00f6gerungs\u00e4nderungen bei der Durchf\u00fchrung von Operationen, zur Best\u00e4tigung der Richtigkeit von Teilen des Passworts w\u00e4hrend der Suche zu nutzen. <\/p>\n
Im Gegensatz zu \u00e4hnlichen Problemen, die 2019 behoben wurden, resultiert die neue Schwachstelle aus der Tatsache, dass externe kryptografische Primitiven, die in der Funktion crypto_ec_point_solve_y_coord() verwendet werden, keine konstante Ausf\u00fchrungszeit bieten, die unabh\u00e4ngig von der Art der verarbeiteten Daten ist. Basierend auf der Analyse des Verhaltens des Prozessor-Caches konnte ein Angreifer, der nicht privilegierten Code im selben Prozessor-Kern ausf\u00fchren kann, Informationen \u00fcber den Fortschritt der Operationen mit dem Passwort in SAE\/EAP-pwd erhalten. Alle Versionen von wpa_supplicant und hostapd, die mit Unterst\u00fctzung f\u00fcr SAE (CONFIG_SAE=y) und EAP-pwd (CONFIG_EAP_PWD=y) kompiliert wurden, sind betroffen. <\/p>\n
Weitere \u00c4nderungen in den neuen Versionen von hostapd und wpa_supplicant: <\/p>\n
\n
Die M\u00f6glichkeit, mit der kryptografischen Bibliothek OpenSSL 3.0 zu kompilieren, wurde hinzugef\u00fcgt.\n
Der im aktualisierten WPA3-Spezifikationsdokument vorgeschlagene Beacon Protection-Mechanismus wurde implementiert, der den Schutz vor aktiven Angriffen auf drahtlose Netzwerke sicherstellt, die auf die Manipulation von Beacon-Frames abzielen.\n
Unterst\u00fctzung des DPP 2-Protokolls (Wi-Fi Device Provisioning Protocol) hinzugef\u00fcgt, das die Authentifizierungsmethode mit \u00f6ffentlichen Schl\u00fcsseln definiert, die im WPA3-Standard f\u00fcr die vereinfachte Konfiguration von Ger\u00e4ten ohne Bildschirmoberfl\u00e4che verwendet wird. Die Konfiguration erfolgt mithilfe eines anderen, bereits mit dem drahtlosen Netzwerk verbundenen, fortschrittlicheren Ger\u00e4ts. Zum Beispiel k\u00f6nnen die Einstellungen f\u00fcr ein IoT-Ger\u00e4t ohne Bildschirm \u00fcber ein Smartphone basierend auf einem QR-Code, der auf dem Geh\u00e4use gedruckt ist, festgelegt werden;\n
In die Implementierung der Verbindungsvereinbarungsmethode SAE wurde die Unterst\u00fctzung f\u00fcr den Schutzmechanismus SAE-PK (SAE Public Key) integriert. Ein Sofortbest\u00e4tigungsmodus wurde hinzugef\u00fcgt, der mit der Option «sae_config_immediate=1» aktiviert werden kann, sowie ein Hash-zu-Element-Mechanismus, der durch Festlegung des Parameters sae_pwe auf die Werte 1 oder 2 aktiviert wird.\n
Unterst\u00fctzung von EAP-TLS f\u00fcr TLS 1.3 hinzugef\u00fcgt (standardm\u00e4\u00dfig deaktiviert).\n
Neue Einstellungen (max_auth_rounds, max_auth_rounds_short) hinzugef\u00fcgt, um die Limits f\u00fcr die Anzahl der EAP-Nachrichten w\u00e4hrend des Authentifizierungsprozesses zu \u00e4ndern (\u00c4nderungen der Limits k\u00f6nnen bei Verwendung von sehr gro\u00dfen Zertifikaten erforderlich sein).\n
Unterst\u00fctzung des PASN-Mechanismus (Pre Association Security Negotiation) hinzugef\u00fcgt, um eine sichere Verbindung herzustellen und den Austausch von Steuerrahmen in der fr\u00fcheren Phase der Verbindung zu sch\u00fctzen.\n
Der Transition Disable-Mechanismus wurde implementiert, der zur Erh\u00f6hung der Sicherheit automatisch den Roaming-Modus deaktiviert, der das Wechseln zwischen Access Points w\u00e4hrend der Bewegung erm\u00f6glicht.\n
Die Standardbuilds enthalten keine Unterst\u00fctzung f\u00fcr das WEP-Protokoll (um die WEP-Unterst\u00fctzung wieder hinzuzuf\u00fcgen, ist ein neuer Build mit der Option CONFIG_WEP=y erforderlich). Veraltete Funktionen in Bezug auf das IAPP-Protokoll (Inter-Access Point Protocol) wurden entfernt. Unterst\u00fctzung f\u00fcr libnl 1.1 wurde eingestellt. Eine Build-Option CONFIG_NO_TKIP=y f\u00fcr Builds ohne TKIP-Unterst\u00fctzung wurde hinzugef\u00fcgt.\n
Sicherheitsanf\u00e4lligkeiten in der UPnP-Implementierung (CVE-2020-12695), im P2P\/Wi-Fi Direct-Handler (CVE-2021-27803) und im PMF-Schutzmechanismus (CVE-2019-16275) wurden behoben.\n
Zu den spezifischen \u00c4nderungen f\u00fcr hostapd geh\u00f6rt die erweiterte Unterst\u00fctzung f\u00fcr HEW (High-Efficiency Wireless, IEEE 802.11ax) drahtlose Netzwerke, einschlie\u00dflich der M\u00f6glichkeit, das Frequenzband von 6 GHz zu verwenden.\n
\u00c4nderungen, die speziell f\u00fcr wpa_supplicant gelten:\n
\n
Unterst\u00fctzung der Einstellungen des Access Point-Modus f\u00fcr SAE (WPA3-Personal) hinzugef\u00fcgt.\n
F\u00fcr EDMG-Kan\u00e4le (IEEE 802.11ay) wurde der P2P-Modus implementiert.\n
Verbesserte Vorhersage der Bandbreite und Auswahl von BSS.\n
Ein neuer Backend zur Speicherung von Passw\u00f6rtern in einer separaten Datei hinzugef\u00fcgt, der es erm\u00f6glicht, vertrauliche Informationen aus der Hauptkonfigurationsdatei auszulagern.\n
Neue Richtlinien f\u00fcr SCS, MSCS und DSCP hinzugef\u00fcgt. <\/ul>\n<\/ul>\n