{"id":103000,"date":"2022-01-18T15:36:39","date_gmt":"2022-01-18T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10"},"modified":"2022-01-18T15:36:39","modified_gmt":"2022-01-18T13:36:39","slug":"%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","title":{"rendered":"Lanzamiento de hostapd y wpa_supplicant 2.10","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Despu\u00e9s de un a\u00f1o y medio de desarrollo, se ha preparado el lanzamiento de hostapd\/wpa_supplicant 2.10, un conjunto para habilitar el funcionamiento de los protocolos inal\u00e1mbricos IEEE 802.1X, WPA, WPA2, WPA3 y EAP, que incluye la aplicaci\u00f3n wpa_supplicant para conectarse a una red inal\u00e1mbrica en calidad de cliente y un proceso en segundo plano hostapd para habilitar el funcionamiento del punto de acceso y del servidor de autenticaci\u00f3n, incluyendo componentes como WPA Authenticator, cliente\/servidor de autenticaci\u00f3n RADIUS y servidor EAP. Los c\u00f3digos fuente del proyecto se distribuyen bajo la licencia BSD. <\/p>\n
Adem\u00e1s de los cambios funcionales en la nueva versi\u00f3n, se ha bloqueado un nuevo vector de ataque a trav\u00e9s de canales laterales, que afecta el m\u00e9todo de negociaci\u00f3n de conexiones SAE (Autenticaci\u00f3n Simult\u00e1nea de Iguales) y el protocolo EAP-pwd. Un atacante que tenga la capacidad de ejecutar c\u00f3digo no privilegiado en el sistema del usuario que se est\u00e1 conectando a la red inal\u00e1mbrica, podr\u00eda a trav\u00e9s del seguimiento de la actividad en el sistema obtener informaci\u00f3n sobre las caracter\u00edsticas de la contrase\u00f1a y usarlas para simplificar la selecci\u00f3n de la contrase\u00f1a en modo offline. El problema es causado por la filtraci\u00f3n a trav\u00e9s de canales laterales de informaci\u00f3n sobre las caracter\u00edsticas de la contrase\u00f1a, que permite, a partir de datos indirectos como el cambio de latencias durante la ejecuci\u00f3n de operaciones, confirmar la validez de las elecciones de partes de la contrase\u00f1a durante su selecci\u00f3n. <\/p>\n
A diferencia de problemas similares que fueron solucionados en 2019, la nueva vulnerabilidad se debe a que los primitivos criptogr\u00e1ficos externos utilizados en la funci\u00f3n crypto_ec_point_solve_y_coord() no garantizaban un tiempo de ejecuci\u00f3n constante, independiente de la naturaleza de los datos procesados. Bas\u00e1ndose en el an\u00e1lisis del comportamiento de la cach\u00e9 del procesador, un atacante que tenga la capacidad de ejecutar c\u00f3digo no privilegiado en el mismo n\u00facleo del procesador, podr\u00eda obtener informaci\u00f3n sobre el progreso de las operaciones con la contrase\u00f1a en SAE\/EAP-pwd. Todas las versiones de wpa_supplicant y hostapd construidas con soporte para SAE (CONFIG_SAE=y) y EAP-pwd (CONFIG_EAP_PWD=y) son vulnerables al problema. <\/p>\n
Otros cambios en las nuevas versiones de hostapd y wpa_supplicant: <\/p>\n
\n
Se ha a\u00f1adido la posibilidad de compilar con la biblioteca criptogr\u00e1fica OpenSSL 3.0.\n
Se ha implementado el mecanismo de Protecci\u00f3n de Beacon propuesto en la actualizaci\u00f3n de la especificaci\u00f3n WPA3, destinado a proteger contra ataques activos a la red inal\u00e1mbrica que manipulan el cambio de los tramas Beacon.\n
Se ha agregado soporte para el protocolo DPP 2 (Protocolo de Aprovisionamiento de Dispositivos Wi-Fi), que define un m\u00e9todo de autenticaci\u00f3n basado en claves p\u00fablicas utilizado en el est\u00e1ndar WPA3 para facilitar la configuraci\u00f3n de dispositivos sin interfaz de pantalla. La configuraci\u00f3n se lleva a cabo utilizando otro dispositivo m\u00e1s avanzado, ya conectado a la red wireless. Por ejemplo, los par\u00e1metros para un dispositivo IoT sin pantalla se pueden establecer desde un smartphone basado en la captura de un c\u00f3digo QR impreso en el cuerpo del dispositivo.\n
Se ha agregado soporte para identificadores de clave extensos (Extended Key ID, IEEE 802.11-2016).\n
Se ha a\u00f1adido soporte para el mecanismo de protecci\u00f3n SAE-PK (SAE Public Key) en la implementaci\u00f3n del m\u00e9todo de negociaci\u00f3n de conexiones SAE. Se ha implementado un modo de env\u00edo inmediato de confirmaciones, activado por la opci\u00f3n «sae_config_immediate=1», as\u00ed como el mecanismo hash-to-element, que se activa al establecer el par\u00e1metro sae_pwe en los valores 1 o 2.\n
En la implementaci\u00f3n de EAP-TLS se ha agregado soporte para TLS 1.3 (desactivado por defecto).\n
Se han agregado nuevas configuraciones (max_auth_rounds, max_auth_rounds_short) para cambiar los l\u00edmites en el n\u00famero de mensajes EAP durante el proceso de autenticaci\u00f3n (cambiar los l\u00edmites puede ser necesario al utilizar certificados muy grandes).\n
Se ha agregado soporte para el mecanismo PASN (Negociaci\u00f3n de Seguridad Pre-Asociativa) para establecer una conexi\u00f3n segura y proteger el intercambio de tramas de control en una etapa anterior a la conexi\u00f3n.\n
Se ha implementado el mecanismo de Desactivaci\u00f3n de Transici\u00f3n, que permite aumentar la seguridad al desactivar autom\u00e1ticamente el modo de roaming, que permite el cambio entre puntos de acceso mientras se mueve.\n
Se ha eliminado el soporte del protocolo WEP de las compilaciones por defecto (para restaurar el soporte de WEP se requiere recompilaci\u00f3n con la opci\u00f3n CONFIG_WEP=y). Se ha eliminado la funcionalidad obsoleta relacionada con el protocolo IAPP (Protocolo de Interconexi\u00f3n entre Puntos de Acceso). Se ha dejado de soportar libnl 1.1. Se ha a\u00f1adido la opci\u00f3n de compilaci\u00f3n CONFIG_NO_TKIP=y para la compilaci\u00f3n sin soporte TKIP.\n
Se han solucionado vulnerabilidades en la implementaci\u00f3n de UPnP (CVE-2020-12695), en el manejador P2P\/Wi-Fi Direct (CVE-2021-27803) y en el mecanismo de protecci\u00f3n PMF (CVE-2019-16275).\n
Entre los cambios espec\u00edficos de hostapd se destaca la expansi\u00f3n del soporte para redes inal\u00e1mbricas HEW (Wireless de Alta Eficiencia, IEEE 802.11ax), incluyendo la posibilidad de utilizar la banda de frecuencia de 6 GHz.\n
Cambios espec\u00edficos para wpa_supplicant:\n
\n
Se ha agregado soporte para la configuraci\u00f3n del modo punto de acceso para SAE (WPA3-Personal).\n
Para los canales EDMG (IEEE 802.11ay) se ha implementado soporte para el modo P2P.\n
Se ha mejorado la predicci\u00f3n del ancho de banda y la selecci\u00f3n de BSS.\n
Se ha ampliado la interfaz de gesti\u00f3n a trav\u00e9s de D-Bus.\n
Se ha a\u00f1adido un nuevo backend para almacenar contrase\u00f1as en un archivo separado, lo que permite extraer informaci\u00f3n confidencial del archivo de configuraci\u00f3n principal.\n
Se han a\u00f1adido nuevas pol\u00edticas para SCS, MSCS y DSCP. <\/ul>\n<\/ul>\n