Väljaanne hostapd ja wpa_supplicant 2.10

Pärast aasta ja poole arendust on valmis saanud hostapd/wpa_supplicant 2.10, IEEE 802.1X, WPA, WPA2, WPA3 ja EAP protokollide toetamiseks mõeldud komplekt, mis koosneb wpa_supplicant rakendusest, et luua ühendus traadita võrguga kliendina, ja hostapd taustaprotsessist, et tagada juurdepääsupunkti ja autentimisteenuse toimimine, sealhulgas komponente nagu WPA autentikaator, RADIUS autentimise klient/server ja EAP server. Projekti allikaid jagatakse BSD litsentsi alusel.

Lisaks funktsionaalsetele muudatustele uues versioonis on blokeeritud uus rünnakusuund kolmandate kanalite kaudu, mis mõjutab SAE (Simultaneous Authentication of Equals) ühenduste kooskõlastamise meetodit ja EAP-pwd protokolli. Kurjategija, kellel on võimalus täita privileege mitteomavat koodi kasutaja süsteemis, kes ühendub traadita võrguga, saab süsteemi tegevuse jälgimise kaudu hankida teavet parooli omaduste kohta ja kasutada neid parooli offline-režiimis lihtsustamiseks. Probleem tuleneb teabe lekimisest kolmandate kanalite kaudu parooli omaduste kohta, mis võimaldab kaudsete andmete, näiteks operatsioonide täitmise viivituste muutuste põhjal selgitada parooli osade õige valiku täpsust.

Erinevalt sarnastest probleemidest, mis likvideeriti 2019. aastal, on uus haavatavus tingitud sellest, et välistest krüptograafilistest primitiividest, mida kasutatakse funktsioonis crypto_ec_point_solve_y_coord(), puudus operatsioonide pidev täitmisaja tagamine, sõltumata töödeldavate andmete iseloomust. Protsessori vahemälu käitumise analüüsi põhjal võis ründaja, kellel oli õigus käivitada privileege mitteomav kood samas protsessorituumas, saada teavet parooli töötlemise käigu kohta SAE/EAP-pwd kontekstis. Probleem on tõsiselt ohustatud kõikide wpa_supplicant ja hostapd versioonide puhul, mis on ehitatud SAE (CONFIG_SAE=y) ja EAP-pwd (CONFIG_EAP_PWD=y) toega.

Teised muudatused uutes väljaannetes hostapd ja wpa_supplicant:

• Lisatud on võimalus koostada koos krüptograafia teegiga OpenSSL 3.0.
• Realiseeritud on WPA3 spetsifikatsiooni uuenduses ettepanek Beacon Protection, mis on ette nähtud kaitseks aktiivsete rünnakute vastu traadita võrgus, mis manipuleerivad Beacon kaadrite muutmisega.
• Lisatud tugi DPP 2 (Wi-Fi seadme seadistamise protokollile), mis määratleb autentimise meetodi, kasutades avalikke klahve, mis on kaasatud WPA3 standardisse seadmete seadistamise hõlbustamiseks ilma ekraaniliideseta. Seadistamine toimub teise, juba traadita võrku ühendatud arenenud seadme abil. Näiteks IoT-seadme ekraanita seadistamisvalikud saab määrata nutitelefoni kaudu, kasutades korpusele trükitud QR-koodi.
• Lisatud tugi laiendatud võtme identifikaatoritega (Extended Key ID, IEEE 802.11-2016).
• SAE ühenduste läbirääkimismeetodi elluviimisse on lisatud SAE-PK (SAE avaliku võti) kaitsemehhanismi tugi. On rakendatud kohese kinnituse saatmise režiim, mida aktiveeritakse suvandi 'sae_config_immediate=1' abil, samuti hash-to-element mehhanism, mis aktiveeritakse, kui sae_pwe parameetriks seatakse väärtused 1 või 2.
• EAP-TLS-i elluviimisse on lisatud TLS 1.3 tugi (vaikimisi keelatud).
• Lisatud uued seaded (max_auth_rounds, max_auth_rounds_short) autentimise protsessis EAP-sõnumite arvu piirmäärade muutmiseks (piirmäärade muutmine võib olla vajalik väga suurte sertifikaatide kasutamisel).
• Lisatud PASN (Eelühenduse Turbe Läbirääkimise) mehhanismi tugi, et luua kaitstud ühendus ja kaitsta juhtimisraamistikku vahetamist ühenduse loomise varases staadiumis.
• Tehtud Transition Disable mehhanismi rakendus, mis võimaldab automaatselt keelata ränderežiimi, et suurendada turvalisust ja võimaldada pääsetuks vahetamist ligipääsupunktide vahel liikumise ajal.
• Vaikeseadetest on eemaldatud WEP protokolli tugi (WEP toetuse taastamiseks on vajalik uuesti koostamine valikuga CONFIG_WEP=y). Eemaldatud on aegunud funktsionaalsus, mis on seotud IAPP (Inter-Access Point Protocol) protokolliga. Toetuse lõpetamine libnl 1.1. Lisatud on koostamisvalik CONFIG_NO_TKIP=y, et koostada ilma TKIP toeta.
• Parandatud on haavatavused UPnP (CVE-2020-12695) rakenduses, P2P/Wi-Fi Direct töötlejas (CVE-2021-27803) ja PMF kaitse mehhanismis (CVE-2019-16275).
• Hostapd-spetsiifilistest muudatustest võib märgata, et laienenud on HEW (High-Efficiency Wireless, IEEE 802.11ax) traadita võrkude tugi, sealhulgas 6 GHz sagedusala kasutamise võimalus.
• Wpa_supplicant’ile spetsiifilised muudatused:
  • Lisatud on SAE (WPA3-Personal) juurdepääsupunkti režiimi seadetega seotud tugi.
  • EdMG (IEEE 802.11ay) kanalite jaoks on rakendatud P2P režiimi tugi.
  • Parendatud läbilaskevõime prognoosimine ja BSS-i valik.
  • Kasutajaliidese haldamine D-Busi kaudu on laienenud.
  • Uus tagaplaan, mis salvestab paroolid eraldi faili, on lisatud, mis võimaldab konfidentsiaalse teabe välja viia põhikonfiguratsiooni failist.
  • Uued poliitikad SCS-i, MSCS-i ja DSCP jaoks on lisatud.

Allikas: opennet.ru