{"id":118137,"date":"2024-07-23T15:43:01","date_gmt":"2024-07-23T13:43:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vypusk-hostapd-i-wpa_supplicant-2-11-realizaczii-steka-besprovodnyh-protokolov"},"modified":"2024-07-23T15:43:01","modified_gmt":"2024-07-23T13:43:01","slug":"vypusk-hostapd-i-wpa_supplicant-2-11-realizaczii-steka-besprovodnyh-protokolov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/vypusk-hostapd-i-wpa_supplicant-2-11-realizaczii-steka-besprovodnyh-protokolov","title":{"rendered":"Ver\u00f6ffentlichung von hostapd und wpa_supplicant 2.11, Implementierung des Protokollstapels f\u00fcr drahtlose Protokolle","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nach zweieinhalbj\u00e4hriger Entwicklung wurde die Version hostapd\/wpa_supplicant 2.11 ver\u00f6ffentlicht, ein Paket zur Unterst\u00fctzung der Wireless-Protokolle IEEE 802.1X, WPA, WPA2, WPA3 und EAP. Das Paket umfasst die Anwendung wpa_supplicant zur Verbindung mit einem WLAN als Client und den Hintergrundprozess hostapd zur Bereitstellung des Zugangspunkts und des Authentifizierungsservers, einschlie\u00dflich Komponenten wie WPA Authenticator, RADIUS-Authentifizierungsclient\/-server und EAP-Server. Die Quelltexte des Projekts werden unter der BSD-Lizenz verbreitet. <\/p>\n
Die wichtigsten \u00c4nderungen in den neuen Versionen von hostapd und wpa_supplicant: <\/p>\n
\n
Die anf\u00e4ngliche Unterst\u00fctzung f\u00fcr Wi-Fi 7 (EHT\/IEEE 802.11be) wurde hinzugef\u00fcgt und die Unterst\u00fctzung f\u00fcr Wi-Fi 6 (HE\/IEEE 802.11ax) verbessert.\n
Die Unterst\u00fctzung der dritten Version des DPP (Device Provisioning Protocol), auch bekannt als \u201eWi-Fi Easy Connect\u201c, wurde hinzugef\u00fcgt, ebenso wie die M\u00f6glichkeit, Wi-Fi-Konfigurationseinstellungen \u00fcber DPP zu \u00fcbertragen. DPP erm\u00f6glicht die vereinfachte Konfiguration von drahtlosen Ger\u00e4ten ohne Bildschirmoberfl\u00e4che unter Verwendung eines anderen, bereits mit dem drahtlosen Netzwerk verbundenen, fortgeschrittenen Ger\u00e4ts. DPP basiert auf der Verwendung von public-key-Authentifizierung, beispielsweise k\u00f6nnen die Parameter f\u00fcr ein IoT-Ger\u00e4t ohne Bildschirm \u00fcber ein Smartphone anhand eines QR-Code-Bildes, das auf dem Geh\u00e4use gedruckt ist und den \u00f6ffentlichen Schl\u00fcssel codiert, festgelegt werden.\n
Die Unterst\u00fctzung f\u00fcr API-\u00c4nderungen wurde hinzugef\u00fcgt, die im Branch der kryptografischen Bibliothek OpenSSL 3.0 vorgeschlagen wurden.\n
Bei der Implementierung der Authentifizierungsprotokolle EAP-SIM (Extensible Authentication Protocol \u2014 Subscriber Identity Module) und EAP-AKA (Extensible Authentication Protocol \u2014 Authentication and Key Agreement) wurde die Unterst\u00fctzung eines Mechanismus zur Wahrung der Vertraulichkeit der Identit\u00e4t des Mobilfunkabonnenten hinzugef\u00fcgt, der die Offenlegung der IMSI bei der Verbindung zu einem Zugangspunkt ausschlie\u00dft.\n
Die Unterst\u00fctzung von SAE AKM (Simultaneous Authentication of Equals \u2014 Authentication and Key Management) im Betriebsmodus mit variabler Schl\u00fcssell\u00e4nge wurde hinzugef\u00fcgt.\n
Die Unterst\u00fctzung f\u00fcr die AKM-Variante (Authentication and Key Management) basierend auf SHA384-Hashes wurde hinzugef\u00fcgt.\n
In der Implementierung des PASN (Pre Association Security Negotiation) Mechanismus, der f\u00fcr die Einrichtung einer sicheren Verbindung und den Schutz des Austauschs von Steuerrahmen in der fr\u00fchen Verbindungsphase verwendet wird, wurde die Unterst\u00fctzung der Technologie \u201esecure ranging\u201c f\u00fcr die sichere Entfernungsmessung zwischen zwei Wi-Fi-Ger\u00e4ten gew\u00e4hrleistet.\n
Es wurde Unterst\u00fctzung f\u00fcr den USD-Mechanismus (Unsynchronized Service Discovery) hinzugef\u00fcgt, der das Auffinden von Diensten durch drahtlose Ger\u00e4te erleichtert.\n
Die Unterst\u00fctzung einer expliziten SSID-Schutzmechanismus bei der vierstufigen Verbindungsvereinbarung wurde hinzugef\u00fcgt. Der Schutz wird durch die Option \u201essid_protection=1\u201c aktiviert und blockiert die Schwachstelle CVE-2023-52424, die das Herstellen einer Verbindung zu einem weniger gesch\u00fctzten drahtlosen Netzwerk erm\u00f6glicht.\n
\u00c4nderungen, die spezifisch f\u00fcr hostapd sind:\n
\n
Die Unterst\u00fctzung f\u00fcr die Hintergrunderkennung von St\u00f6rungen durch Radarsysteme, die im selben Frequenzbereich arbeiten, wurde hinzugef\u00fcgt (bei Erkennung erfolgt ein Wechsel zu anderen Frequenzen). Au\u00dferdem wurde Unterst\u00fctzung f\u00fcr den CAC-Mechanismus (Channel Availability Check) hinzugef\u00fcgt, der dazu dient, den Kanal vor der Nutzung zu \u00fcberwachen, um dessen Belegung durch ein Radarsystem zu \u00fcberpr\u00fcfen.\n
Die Implementierung des SAE-Methoden (Simultaneous Authentication of Equals) erm\u00f6glicht nun die Anforderung eines Kennworts beim RADIUS-Server.\n
Die Unterst\u00fctzung f\u00fcr ACL- (Access-Control List) und PSK- (Pre-Shared Key) \u00dcberpr\u00fcfungen unter Verwendung des RADIUS-Protokolls w\u00e4hrend der Verbindungsvereinbarung (wpa_psk_radius=3) wurde hinzugef\u00fcgt.\n
Bei der Implementierung des ACS-Mechanismus (Automatic Channel Selection) wird bei der Wahl des verwendeten Kanals die Bandbreite und die Typen der Kan\u00e4le ber\u00fccksichtigt.\n
Die Unterst\u00fctzung f\u00fcr die Verwendung mehrerer BSSID-Identifikatoren (Basic Service Set Identifier) an einem einzigen Access Point wurde erweitert, um den Betrieb virtueller drahtloser Netzwerke zu erm\u00f6glichen.\n
Die anf\u00e4ngliche Unterst\u00fctzung f\u00fcr die Verwendung von TLS zur Verschl\u00fcsselung von Anfragen \u00fcber das RADIUS-Protokoll wurde hinzugef\u00fcgt. <\/ul>\n
\u00c4nderungen, die speziell f\u00fcr wpa_supplicant gelten:\n
\n
In der Implementierung des MACsec-Standards (IEEE 802.1AE), der Mittel zum Schutz von Daten\u00fcbertragungskan\u00e4len bereitstellt, wurde die M\u00f6glichkeit zur Verwendung des GCM-AES-256 Verschl\u00fcsselungsschemas hinzugef\u00fcgt, sowie Unterst\u00fctzung f\u00fcr Hardwarebeschleunigung durch Auslagerung von Operationen auf die Seite des Netzwerkadapters.\n
F\u00fcr TLSv1.3 wurde die Unterst\u00fctzung f\u00fcr EAP-TLS verbessert.\n
Der Schutz gegen DoS-Angriffe bei Verwendung von PMF (Protected Management Frames) wurde verst\u00e4rkt.\n
Das Roaming zwischen AKM (Authentication and Key Management) bei der Auswahl des SME\/BSS (Service Management Entity\/Basic Service Set) Treibers wurde verbessert.\n
Es wurde die M\u00f6glichkeit hinzugef\u00fcgt, den PASN-Mechanismus (Protected Access Secure Negotiation) mit externen Programmen zu verwenden.\n
Unterst\u00fctzung f\u00fcr die Verwendung vorab generierter MAC-Adressen (mac_addr=3) anstelle der Generierung zuf\u00e4lliger MAC-Adressen f\u00fcr jedes Netzwerk wurde hinzugef\u00fcgt.\n
Die Verwendung der zweiten Authentifizierungsphase (phase2_auth=1) f\u00fcr das EAP-PEAP-Protokoll ist standardm\u00e4\u00dfig aktiviert und bedeutet, dass die Authentifizierung des Clients innerhalb eines gesch\u00fctzten Tunnels erfolgt.\n
Die Unterst\u00fctzung der MSCS-Technologie (Multi-Streaming Channel Switching) wurde erweitert, was es dem Ger\u00e4t erm\u00f6glicht, zwischen mehreren Kan\u00e4len zu wechseln.\n
Die Unterst\u00fctzung der SCS-Technologie (Spatial Channel Switching) wurde erweitert, um wichtigen Datenverkehr bei der Verwendung von QoS priorisiert zu verarbeiten. <\/ul>\n<\/ul>\n