{"id":103000,"date":"2022-01-18T15:36:39","date_gmt":"2022-01-18T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10"},"modified":"2022-01-18T15:36:39","modified_gmt":"2022-01-18T13:36:39","slug":"%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","title":{"rendered":"V\u00e4ljaanne hostapd ja wpa_supplicant 2.10","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
P\u00e4rast poolteist aastat arendust\u00f6\u00f6d on v\u00e4lja antud hostapd\/wpa_supplicant 2.10, komplekt, mis tagab IEEE 802.1X, WPA, WPA2, WPA3 ja EAP traadita protokollide toimimise. See sisaldab wpa_supplicant rakendust traadita v\u00f5rku kliendina \u00fchendamiseks ja hostapd taustaprotsessi, mis tagab ligip\u00e4\u00e4supunkti ja autentimisteenuse t\u00f6\u00f6, sh selliseid komponente nagu WPA autentikaator, RADIUSi autentimiskliendi\/server ja EAP server. Projekti l\u00e4htekoodid levivad BSD litsentsi alusel. <\/p>\n
Lisaks funktsionaalsetele muudatustele uues versioonis on blokeeritud uus r\u00fcnnakuvektor k\u00fclgkanalite kaudu, mis m\u00f5jutab SAE (Simultaneous Authentication of Equals) \u00fchenduse kokkuleppe meetodit ja EAP-pwd protokolli. Kurjategija, kellel on juurdep\u00e4\u00e4s madala privileegiga koodile kasutaja s\u00fcsteemis, kes \u00fchineb traadita v\u00f5rguga, v\u00f5ib s\u00fcsteemi aktiivsuse j\u00e4lgimise kaudu saada teavet paroolide omaduste kohta ja kasutada neid paroolide offline-re\u017eiimis h\u00f5lbustamiseks. Probleem tuleneb k\u00fclgkanalite kaudu paroolide omaduste lekimisest, mis v\u00f5imaldab kaudsete andmete p\u00f5hjal, nagu operatsioonide viivituste muutumine, t\u00e4psustada parooli osi valimise \u00f5igsust. <\/p>\n
Erinevalt sarnastest probleemidest, mis k\u00f5rvaldati 2019. aastal, on uus haavatavus tingitud sellest, et v\u00e4list kr\u00fcptograafilist primitiivide kasutamine funktsioonis crypto_ec_point_solve_y_coord() ei taganud toimingute t\u00e4itmise aega, mis ei s\u00f5ltu t\u00f6\u00f6deldud andmete iseloomust. R\u00fcndaja, kes suudab k\u00e4ivitada madala privileegiga koodi samas CPU tuumas, v\u00f5iks protsessorivahenduse k\u00e4itumise anal\u00fc\u00fcsi p\u00f5hjal saada teavet paroolide toimingute t\u00e4itmise kohta SAE\/EAP-pwd. Probleem on m\u00f5jutatud k\u00f5igis wpa_supplicant ja hostapd versioonides, mis on kogutud SAE (CONFIG_SAE=y) ja EAP-pwd (CONFIG_EAP_PWD=y) toe abil. <\/p>\n
Teised muudatused uutes hostapd ja wpa_supplicant versioonides: <\/p>\n
\n
Lisatud v\u00f5imalus koostada koos kr\u00fcptograafilise teegiga OpenSSL 3.0.\n
Rakendatud WPA3 spetsifikatsiooni uuenduses ettepanek Beacon Protection mehhanism, mis on m\u00f5eldud traadita v\u00f5rgu aktiivsetest r\u00fcnnakutest kaitsmiseks, mis manipuleerivad Beacon kaadrite muutmisega.\n
Lisatud on DPP 2 (Wi-Fi seadme seadistamise protokoll) toe, mis m\u00e4\u00e4ratleb avaliku v\u00f5tmega autentimise meetodi, mille kasutamine on WPA3 standardis seadmete liidesevaba seadistamise lihtsustamiseks. Seadistamine toimub teise, juba juhtmevabasse v\u00f5rku \u00fchendatud seadme kaudu. N\u00e4iteks saab ekraanita IoT-seadme seadistamise parametrid m\u00e4\u00e4rata nutitelefonist, skaneerides korpusele tr\u00fckitud QR-koodi.\n
Lisatud on laiendatud v\u00f5tme ID-d (Extended Key ID, IEEE 802.11-2016) toe.\n
SAE \u00fchenduste lepingumeetodi teostusse on lisatud SAE-PK (SAE avaliku v\u00f5tme) kaitsemehhanismi tugi. Kiire kinnituse saatmise re\u017eiim on rakendatud, mida aktiveeritakse valikuga «sae_config_immediate=1», ning samuti hash-to-element mehhanism, mis aktiveeritakse sae_pwe parameetri seadmisel v\u00e4\u00e4rtustele 1 v\u00f5i 2.\n
EAP-TLS-i rakendusse on lisatud TLS 1.3 tugi (vaikimisi keelatud).\n
Uued seaded (max_auth_rounds, max_auth_rounds_short) on lisatud EAP-autentimise protsessi EAP-s\u00f5numite arvu piiride muutmiseks (piiride muutmine v\u00f5ib olla vajalik v\u00e4ga suurte sertifikaatide kasutamisel).\n
PASN (enne \u00fchenduse loomise turvaneerimise) mehhanismi toetus on lisatud kaitstud \u00fchenduse loomise ja juhtimisteadete vahetamise kaitseks varajases \u00fchenduse loomise etapis.\n
Rakendatud on Transition Disable mehhanism, mis v\u00f5imaldab automaatselt keelata r\u00e4ndere\u017eiimi, mis lubab liikuda punktide vahel, et suurendada turvalisust.\n
Vaikimisi kogudest on eemaldatud WEP protokolli tugi (WEP toe taastamiseks on vajalik kogumise uuesti koostamine valikuga CONFIG_WEP=y). Eemaldatud on vananenud funktsionaalsus, mis on seotud IAPP (Inter-Access Point Protocol) protokolliga. Peatatud on libnl 1.1 tugi. Lisatud on ehituse valik CONFIG_NO_TKIP=y, et koostada kogus ilma TKIP toeta.\n
Ravitud on UPnP rakenduse (CVE-2020-12695), P2P\/Wi-Fi Directi t\u00f6\u00f6tluse (CVE-2021-27803) ja PMF kaitsemehhanismi (CVE-2019-16275) haavatavusi.\n
Hostapd spetsiifiliste muudatuste hulgas on suurenenud HEW (High-Efficiency Wireless, IEEE 802.11ax) juhtmevabade v\u00f5rkude toe, sealhulgas 6 GHz sagedusala kasutamise v\u00f5imalus.\n
Muudatused, mis on spetsiifilised wpa_supplicant'ile:\n
\n
Lisatud on SAE (WPA3-Personal) jaoks punktide seadete re\u017eiimi tugi.\n
EDMG kanalite (IEEE 802.11ay) jaoks on rakendatud P2P re\u017eiimi tugi.\n
Parandatud l\u00e4bilaskev\u00f5ime ennustamine ja BSS-i valik.\n
Laienenud juhtimise liides D-Bus'i kaudu.\n
Lisatud uus tagaplaan salas\u00f5nade s\u00e4ilitamiseks eraldi failis, v\u00f5imaldades konfidentsiaalsete andmete eraldamist p\u00f5hi konfiguratsioonifailist.\n
Lisatud uued poliitikad SCS, MSCS ja DSCP jaoks. <\/ul>\n<\/ul>\n