{"id":103000,"date":"2022-01-18T15:36:39","date_gmt":"2022-01-18T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10"},"modified":"2022-01-18T15:36:39","modified_gmt":"2022-01-18T13:36:39","slug":"%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","title":{"rendered":"Publication de hostapd et wpa_supplicant 2.10.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Apr\u00e8s une ann\u00e9e et demie de d\u00e9veloppement, la version 2.10 de hostapd\/wpa_supplicant a \u00e9t\u00e9 publi\u00e9e, une suite con\u00e7ue pour faire fonctionner les protocoles sans fil IEEE 802.1X, WPA, WPA2, WPA3 et EAP. Elle comprend l'application wpa_supplicant pour se connecter \u00e0 un r\u00e9seau sans fil en tant que client et le processus de fond hostapd pour faire fonctionner le point d'acc\u00e8s et le serveur d'authentification, incluant des composants tels que l'authentificateur WPA, le client\/serveur d'authentification RADIUS et le serveur EAP. Les codes sources du projet sont diffus\u00e9s sous licence BSD. <\/p>\n
En plus de modifications fonctionnelles, la nouvelle version bloque un nouveau vecteur d'attaque par canaux auxiliaires, touchant la m\u00e9thode de n\u00e9gociation de connexions SAE (Simultaneous Authentication of Equals) et le protocole EAP-pwd. Un attaquant ayant la capacit\u00e9 d'ex\u00e9cuter du code non privil\u00e9gi\u00e9 sur le syst\u00e8me d'un utilisateur se connectant \u00e0 un r\u00e9seau sans fil pourrait, en tra\u00e7ant l'activit\u00e9 du syst\u00e8me, obtenir des informations sur les caract\u00e9ristiques du mot de passe et les utiliser pour faciliter le craquage du mot de passe en mode hors ligne. Ce probl\u00e8me est caus\u00e9 par une fuite par canaux auxiliaires d'informations sur les caract\u00e9ristiques du mot de passe, qui permettent, via des donn\u00e9es indirectes telles que les variations de latence lors de l'ex\u00e9cution des op\u00e9rations, de clarifier la justesse du choix des parties du mot de passe lors de sa tentative de craquage. <\/p>\n
Contrairement \u00e0 des probl\u00e8mes similaires r\u00e9solus en 2019, la nouvelle vuln\u00e9rabilit\u00e9 est due au fait que des primitives cryptographiques externes utilis\u00e9es dans la fonction crypto_ec_point_solve_y_coord() n'assuraient pas un temps d'ex\u00e9cution constant, ind\u00e9pendamment de la nature des donn\u00e9es trait\u00e9es. Sur la base d'une analyse du comportement du cache processeur, un attaquant ayant la possibilit\u00e9 de lancer du code non privil\u00e9gi\u00e9 sur le m\u00eame c\u0153ur de processeur pouvait obtenir des informations sur l'avancement des op\u00e9rations avec le mot de passe dans SAE\/EAP-pwd. Le probl\u00e8me concerne toutes les versions de wpa_supplicant et hostapd compil\u00e9es avec le support de SAE (CONFIG_SAE=y) et EAP-pwd (CONFIG_EAP_PWD=y). <\/p>\n
D'autres modifications dans les nouvelles versions de hostapd et wpa_supplicant : <\/p>\n
\n
Ajout de la possibilit\u00e9 de compilation avec la biblioth\u00e8que cryptographique OpenSSL 3.0.\n
Mise en \u0153uvre du m\u00e9canisme de protection des balises propos\u00e9 dans la mise \u00e0 jour de la sp\u00e9cification WPA3, con\u00e7u pour prot\u00e9ger contre les attaques actives sur le r\u00e9seau sans fil, manipulant la modification des trames Beacon.\n
Ajout de la prise en charge du protocole DPP 2 (Wi-Fi Device Provisioning Protocol), d\u00e9finissant une m\u00e9thode d'authentification par cl\u00e9 publique, utilis\u00e9e dans la norme WPA3 pour faciliter la configuration des appareils sans interface d'\u00e9cran. La configuration se fait \u00e0 l'aide d'un autre appareil plus avanc\u00e9 d\u00e9j\u00e0 connect\u00e9 au r\u00e9seau sans fil. Par exemple, les param\u00e8tres pour un appareil IoT sans \u00e9cran peuvent \u00eatre d\u00e9finis depuis un smartphone sur la base d'un code QR imprim\u00e9 sur le bo\u00eetier;\n
Ajout de la prise en charge des identifiants de cl\u00e9 \u00e9tendus (Extended Key ID, IEEE 802.11-2016).\n
La mise en \u0153uvre de la m\u00e9thode de n\u00e9gociation des connexions SAE a ajout\u00e9 la prise en charge du m\u00e9canisme de protection SAE-PK (SAE Public Key). Un mode d'envoi instantan\u00e9 de la confirmation a \u00e9t\u00e9 r\u00e9alis\u00e9, activ\u00e9 par l'option \u00ab sae_config_immediate=1 \u00bb, ainsi qu'un m\u00e9canisme hash-to-element, activ\u00e9 en r\u00e9glant le param\u00e8tre sae_pwe sur les valeurs 1 ou 2.\n
La mise en \u0153uvre de EAP-TLS a ajout\u00e9 la prise en charge de TLS 1.3 (d\u00e9sactiv\u00e9e par d\u00e9faut).\n
De nouveaux param\u00e8tres (max_auth_rounds, max_auth_rounds_short) ont \u00e9t\u00e9 ajout\u00e9s pour modifier les limites sur le nombre de messages EAP lors du processus d'authentification (ces limites peuvent avoir besoin d'\u00eatre ajust\u00e9es lors de l'utilisation de certificats tr\u00e8s volumineux).\n
Ajout de la prise en charge du m\u00e9canisme PASN (Pre Association Security Negotiation) pour \u00e9tablir une connexion s\u00e9curis\u00e9e et prot\u00e9ger l'\u00e9change de trames de contr\u00f4le \u00e0 un stade pr\u00e9coce de la connexion.\n
Mise en \u0153uvre du m\u00e9canisme Transition Disable, permettant de d\u00e9sactiver automatiquement le mode de roaming, permettant de passer d'un point d'acc\u00e8s \u00e0 l'autre lors du d\u00e9placement, pour renforcer la s\u00e9curit\u00e9.\n
La prise en charge du protocole WEP a \u00e9t\u00e9 supprim\u00e9e des compilations par d\u00e9faut (un retour \u00e0 la prise en charge de WEP n\u00e9cessite une recompilation avec l'option CONFIG_WEP=y). Fonctionnalit\u00e9 obsol\u00e8te associ\u00e9e au protocole IAPP (Inter-Access Point Protocol) supprim\u00e9e. La prise en charge de libnl 1.1 a \u00e9t\u00e9 arr\u00eat\u00e9e. Ajout d'une option de compilation CONFIG_NO_TKIP=y pour une compilation sans prise en charge de TKIP.\n
Des vuln\u00e9rabilit\u00e9s dans la mise en \u0153uvre de UPnP (CVE-2020-12695), dans le gestionnaire P2P\/Wi-Fi Direct (CVE-2021-27803) et dans le m\u00e9canisme de protection PMF (CVE-2019-16275) ont \u00e9t\u00e9 corrig\u00e9es.\n
Parmi les changements sp\u00e9cifiques \u00e0 hostapd, on note l'extension de la prise en charge des r\u00e9seaux sans fil HEW (High-Efficiency Wireless, IEEE 802.11ax), y compris la possibilit\u00e9 d'utiliser la bande de fr\u00e9quence de 6 GHz.\n
Ajout de la prise en charge des param\u00e8tres de mode point d'acc\u00e8s pour SAE (WPA3-Personal).\n
Pour les canaux EDMG (IEEE 802.11ay), la prise en charge du mode P2P a \u00e9t\u00e9 mise en \u0153uvre.\n
Am\u00e9lioration de la pr\u00e9vision de la bande passante et de la s\u00e9lection de BSS.\n
Interface de gestion \u00e9tendue via D-Bus.\n
Ajout d'un nouveau backend pour le stockage des mots de passe dans un fichier s\u00e9par\u00e9, permettant d'extraire des informations confidentielles du fichier de configuration principal.\n
Nouvelles politiques ajout\u00e9es pour SCS, MSCS et DSCP. <\/ul>\n<\/ul>\n