{"id":103000,"date":"2022-01-18T15:36:39","date_gmt":"2022-01-18T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10"},"modified":"2022-01-18T15:36:39","modified_gmt":"2022-01-18T13:36:39","slug":"%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/news\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","title":{"rendered":"Izlaz hostapd i wpa_supplicant 2.10","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nakon godina i pol razvoja pripremljen je izlaz hostapd\/wpa_supplicant 2.10, skupa za podr\u0161ku rada be\u017ei\u010dnih protokola IEEE 802.1X, WPA, WPA2, WPA3 i EAP, koji se sastoji od aplikacije wpa_supplicant za povezivanje na be\u017ei\u010dnu mre\u017eu u ulozi klijenta i pozadinskog procesa hostapd za osiguranje rada to\u010dke pristupa i servera za autentikaciju, uklju\u010duju\u0107i komponente poput WPA Authenticator, klijent\/server za autentikaciju RADIUS, EAP server. Izvorni kodovi projekta distribuiraju se pod BSD licencom. <\/p>\n
Osim funkcionalnih promjena u novoj verziji blokiran je novi vektor napada putem bo\u010dnih kanala, koji utje\u010de na metodu uskla\u0111ivanja konekcija SAE (Simultaneous Authentication of Equals) i protokol EAP-pwd. Napada\u010d, koji ima mogu\u0107nost izvr\u0161avanja neprivilegiranog koda na sustavu korisnika koji se povezuje na be\u017ei\u010dnu mre\u017eu, mo\u017ee putem pra\u0107enja aktivnosti u sustavu dobiti informacije o karakteristikama lozinke i koristiti ih za pojednostavljenje otkrivanja lozinke u offline re\u017eimu. Problem je uzrokovan curenjem informacija o karakteristikama lozinke putem bo\u010dnih kanala, \u0161to omogu\u0107ava, na temelju posrednih podataka kao \u0161to su promjene latencija pri izvr\u0161enju operacija, da se potvrdi to\u010dnost izbora dijelova lozinke tijekom procesa otkrivanja. <\/p>\n
Za razliku od sli\u010dnih problema koji su rije\u0161eni 2019. godine, nova ranjivost uzrokovana je time \u0161to vanjski kriptografski principi kori\u0161teni u funkciji crypto_ec_point_solve_y_coord() nisu osiguravali konstantno vrijeme izvr\u0161enja operacija, neovisno o prirodi obra\u0111enih podataka. Na temelju analize pona\u0161anja procesorskog cachea, napada\u010d koji ima mogu\u0107nost pokretanja neprivilegiranog koda na istom jezgru procesora mogao bi dobiti informacije o toku izvr\u0161enja operacija s lozinkom u SAE\/EAP-pwd. Problem poga\u0111a sve verzije wpa_supplicant i hostapd, sastavljene s podr\u0161kom za SAE (CONFIG_SAE=y) i EAP-pwd (CONFIG_EAP_PWD=y). <\/p>\n
Druge promjene u novim izdanjima hostapd i wpa_supplicant: <\/p>\n
\n
Dodana je mogu\u0107nost sastavljanja s kriptografskom bibliotekom OpenSSL 3.0.\n
Realiziran je predlo\u017eeni mehanizam za\u0161tite Beacon iz a\u017euriranja specifikacije WPA3, namijenjen za\u0161titi od aktivnih napada na be\u017ei\u010dnu mre\u017eu, koji manipuli\u0161u promjenama Beacon okvira.\n
Dodana podr\u0161ka za DPP 2 (Wi-Fi Device Provisioning Protocol), koji definira metodu autentifikacije putem javnih klju\u010deva kori\u0161tenu u WPA3 standardu za pojednostavljenu konfiguraciju ure\u0111aja bez su\u010delja na ekranu. Konfiguracija se provodi kori\u0161tenjem drugog, naprednijeg ure\u0111aja koji je ve\u0107 povezan s be\u017ei\u010dnom mre\u017eom. Na primjer, parametre za IoT ure\u0111aj bez ekrana mogu\u0107e je postaviti s pametnog telefona skeniranjem QR koda ispisanog na ku\u0107i\u0161tu.\n
U implementaciju EAP-TLS dodana je podr\u0161ka za TLS 1.3 (isklju\u010dena po defaultu).\n
Dodane nove postavke (max_auth_rounds, max_auth_rounds_short) za promjenu limita na broj EAP poruka tijekom autentifikacije (promjena limita mo\u017ee biti potrebna prilikom kori\u0161tenja vrlo velikih certifikata).\n
Dodana podr\u0161ka za mehanizam PASN (Pre Association Security Negotiation) za uspostavljanje za\u0161ti\u0107ene veze i za\u0161titu razmjene kontrolnih okvira u ranijoj fazi povezivanja.\n
Implementiran je mehanizam Transition Disable, koji omogu\u0107ava automatsko isklju\u010divanje roaming moda radi pove\u0107anja sigurnosti, \u0161to omogu\u0107ava prebacivanje izme\u0111u pristupnih to\u010daka tijekom kretanja.\n
Iz standardnih verzija isklju\u010dena je podr\u0161ka za WEP protokol (za vra\u0107anje podr\u0161ke za WEP potrebna je ponovno sastavljanje s opcijom CONFIG_WEP=y). Uklonjena je zastarjela funkcionalnost vezana za IAPP (Inter-Access Point Protocol). Prekida se podr\u0161ka za libnl 1.1. Dodana je opcija za sastavljanje CONFIG_NO_TKIP=y za izradu bez podr\u0161ke za TKIP.\n
Otklonjene su ranjivosti u implementaciji UPnP (CVE-2020-12695), u handler-u P2P\/Wi-Fi Direct (CVE-2021-27803) i mehanizmu za\u0161tite PMF (CVE-2019-16275).\n
Od specifi\u010dnih promjena za hostapd, mo\u017ee se uo\u010diti pro\u0161irena podr\u0161ka za be\u017ei\u010dne mre\u017ee HEW (High-Efficiency Wireless, IEEE 802.11ax), uklju\u010duju\u0107i mogu\u0107nost kori\u0161tenja frekvencijskog opsega od 6 GHz.\n
Promjene specifi\u010dne za wpa_supplicant:\n
\n
Dodana podr\u0161ka za postavke na\u010dina rada pristupne to\u010dke za SAE (WPA3-Personal).\n
Za EDMG kanale (IEEE 802.11ay) implementirana je podr\u0161ka za P2P na\u010din.\n
Pobolj\u0161ano predvi\u0111anje propusnosti i odabir BSS-a.\n
Pro\u0161iren su\u010delje za upravljanje putem D-Bus-a.\n
Dodana nova pozadina za pohranu lozinki u zasebnoj datoteci, koja omogu\u0107ava odvajanje povjerljivih informacija od glavne konfiguracijske datoteke.\n
Dodane nove politike za SCS, MSCS i DSCP. <\/ul>\n<\/ul>\n