Nakon godina i pol razvoja pripremljen je izlaz hostapd/wpa_supplicant 2.10, skupa za podršku rada bežičnih protokola IEEE 802.1X, WPA, WPA2, WPA3 i EAP, koji se sastoji od aplikacije wpa_supplicant za povezivanje na bežičnu mrežu u ulozi klijenta i pozadinskog procesa hostapd za osiguranje rada točke pristupa i servera za autentikaciju, uključujući komponente poput WPA Authenticator, klijent/server za autentikaciju RADIUS, EAP server. Izvorni kodovi projekta distribuiraju se pod BSD licencom.
Osim funkcionalnih promjena u novoj verziji blokiran je novi vektor napada putem bočnih kanala, koji utječe na metodu usklađivanja konekcija SAE (Simultaneous Authentication of Equals) i protokol EAP-pwd. Napadač, koji ima mogućnost izvršavanja neprivilegiranog koda na sustavu korisnika koji se povezuje na bežičnu mrežu, može putem praćenja aktivnosti u sustavu dobiti informacije o karakteristikama lozinke i koristiti ih za pojednostavljenje otkrivanja lozinke u offline režimu. Problem je uzrokovan curenjem informacija o karakteristikama lozinke putem bočnih kanala, što omogućava, na temelju posrednih podataka kao što su promjene latencija pri izvršenju operacija, da se potvrdi točnost izbora dijelova lozinke tijekom procesa otkrivanja.
Za razliku od sličnih problema koji su riješeni 2019. godine, nova ranjivost uzrokovana je time što vanjski kriptografski principi korišteni u funkciji crypto_ec_point_solve_y_coord() nisu osiguravali konstantno vrijeme izvršenja operacija, neovisno o prirodi obrađenih podataka. Na temelju analize ponašanja procesorskog cachea, napadač koji ima mogućnost pokretanja neprivilegiranog koda na istom jezgru procesora mogao bi dobiti informacije o toku izvršenja operacija s lozinkom u SAE/EAP-pwd. Problem pogađa sve verzije wpa_supplicant i hostapd, sastavljene s podrškom za SAE (CONFIG_SAE=y) i EAP-pwd (CONFIG_EAP_PWD=y).
Druge promjene u novim izdanjima hostapd i wpa_supplicant:
- Dodana je mogućnost sastavljanja s kriptografskom bibliotekom OpenSSL 3.0.
- Realiziran je predloženi mehanizam zaštite Beacon iz ažuriranja specifikacije WPA3, namijenjen zaštiti od aktivnih napada na bežičnu mrežu, koji manipulišu promjenama Beacon okvira.
- Dodana podrška za DPP 2 (Wi-Fi Device Provisioning Protocol), koji definira metodu autentifikacije putem javnih ključeva korištenu u WPA3 standardu za pojednostavljenu konfiguraciju uređaja bez sučelja na ekranu. Konfiguracija se provodi korištenjem drugog, naprednijeg uređaja koji je već povezan s bežičnom mrežom. Na primjer, parametre za IoT uređaj bez ekrana moguće je postaviti s pametnog telefona skeniranjem QR koda ispisanog na kućištu.
- Dodana podrška za proširene identifikatore ključeva (Extended Key ID, IEEE 802.11-2016).
- U implementaciju metode dogovora o vezama SAE dodana je podrška za mehanizam zaštite SAE-PK (SAE Public Key). Implementiran je način trenutnog slanja potvrde, koji se aktivira opcijom "sae_config_immediate=1", kao i mehanizam hash-to-element, koji se aktivira postavljanjem parametra sae_pwe na vrijednosti 1 ili 2.
- U implementaciju EAP-TLS dodana je podrška za TLS 1.3 (isključena po defaultu).
- Dodane nove postavke (max_auth_rounds, max_auth_rounds_short) za promjenu limita na broj EAP poruka tijekom autentifikacije (promjena limita može biti potrebna prilikom korištenja vrlo velikih certifikata).
- Dodana podrška za mehanizam PASN (Pre Association Security Negotiation) za uspostavljanje zaštićene veze i zaštitu razmjene kontrolnih okvira u ranijoj fazi povezivanja.
- Implementiran je mehanizam Transition Disable, koji omogućava automatsko isključivanje roaming moda radi povećanja sigurnosti, što omogućava prebacivanje između pristupnih točaka tijekom kretanja.
- Iz standardnih verzija isključena je podrška za WEP protokol (za vraćanje podrške za WEP potrebna je ponovno sastavljanje s opcijom CONFIG_WEP=y). Uklonjena je zastarjela funkcionalnost vezana za IAPP (Inter-Access Point Protocol). Prekida se podrška za libnl 1.1. Dodana je opcija za sastavljanje CONFIG_NO_TKIP=y za izradu bez podrške za TKIP.
- Otklonjene su ranjivosti u implementaciji UPnP (CVE-2020-12695), u handler-u P2P/Wi-Fi Direct (CVE-2021-27803) i mehanizmu zaštite PMF (CVE-2019-16275).
- Od specifičnih promjena za hostapd, može se uočiti proširena podrška za bežične mreže HEW (High-Efficiency Wireless, IEEE 802.11ax), uključujući mogućnost korištenja frekvencijskog opsega od 6 GHz.
- Promjene specifične za wpa_supplicant:
- Dodana podrška za postavke načina rada pristupne točke za SAE (WPA3-Personal).
- Za EDMG kanale (IEEE 802.11ay) implementirana je podrška za P2P način.
- Poboljšano predviđanje propusnosti i odabir BSS-a.
- Proširen sučelje za upravljanje putem D-Bus-a.
- Dodana nova pozadina za pohranu lozinki u zasebnoj datoteci, koja omogućava odvajanje povjerljivih informacija od glavne konfiguracijske datoteke.
- Dodane nove politike za SCS, MSCS i DSCP.
Izvor: opennet.ru
