Két és fél év fejlesztés után megjelent a hostapd/wpa_supplicant 2.11, amely az IEEE 802.1X, WPA, WPA2, WPA3 és EAP vezeték nélküli protokolljainak működését biztosító csomag. A csomag tartalmazza a wpa_supplicant alkalmazást, amely kliensként kapcsolódik a vezeték nélküli hálózathoz, és a hostapd háttérfolyamatot, amely a hozzáférési pont és az autentikációs szerver működését biztosítja, ideértve olyan összetevőket, mint a WPA Authenticator, a RADIUS kliens/szerver és az EAP szerver. A projekt forráskódját BSD licenc alatt terjesztik.
A hostapd és wpa_supplicant új verzióiban bekövetkezett főbb változások:
- Kezdeti Wi-Fi 7 (EHT/IEEE 802.11be) támogatás került bevezetésre, valamint a Wi-Fi 6 (HE/IEEE 802.11ax) támogatása javult.
- Harmadik generációs DPP (Device Provisioning Protocol) protokoll támogatás került hozzáadásra, amely közismert néven 'Wi-Fi Easy Connect' néven ismert, valamint lehetőség nyílt Wi-Fi beállítások átadására DPP segítségével. A DPP lehetővé teszi a vezeték nélküli eszközök egyszerű beállítását képernyőfelület nélkül, egy másik, a vezeték nélküli hálózathoz már csatlakoztatott, fejlettebb eszköz segítségével. A DPP az nyilvános kulcsú autentikációra épít, például az IoT-eszköz képernyő nélküli beállításai a házán nyomtatott QR-kód alapján, amely a nyilvános kulcsot kódolja, egy okostelefon segítségével adhatók meg.
- Támogatás került a OpenSSL 3.0 kriptográfiai könyvtár ágában javasolt API változásokhoz.
- Az EAP-SIM (Extensible Authentication Protocol - Subscriber Identity Module) és EAP-AKA (Extensible Authentication Protocol - Authentication and Key Agreement) autentikációs protokollok megvalósításában bevezetésre került a mobilhálózati előfizető azonosítójának védelmét szolgáló mechanizmus támogatása, amely kizárja az IMSI nyilvánosságra hozatalát a hozzáférési ponthoz kapcsolódáskor.
- Támogatás került az SAE AKM (Simultaneous Authentication of Equals - Authentication and Key Management) változó kulcsméretű működési módjaihoz.
- SHA384 hash-alapú AKM (Authentication and Key Management) verzió támogatás került bevezetésre.
- A PASN (Pre Association Security Negotiation) mechanizmus megvalósításában, amely a biztonságos kapcsolat létesítésére és a vezérlő keretek korai fázisban történő védelmére szolgál, támogatott a 'secure ranging' technológia, amely lehetővé teszi a két Wi-Fi eszköz közötti távolság biztonságos meghatározását.
- Hozzáadva az USD (Unsynchronized Service Discovery) mechanizmus támogatása, amely megkönnyíti a vezeték nélküli eszközök szolgáltatásainak felfedezését.
- Hozzáadva a SSID explicit védelme négylépcsős kapcsolódási megállapodással. A védelem aktiválható az «ssid_protection=1» opció segítségével, és blokkolja a CVE-2023-52424 sebezhetőséget, amely lehetővé teszi a csatlakozást egy gyengébben védett vezeték nélküli hálózathoz.
- A hostapd-re specifikus változások:
- Hozzáadva a radar rendszerek által okozott zavarok háttér észlelésének támogatása, amelyek ugyanezen frekvenciasávokban működnek (észlelés esetén váltás más frekvenciákra történik). A CAC (Channel Availability Check) mechanizmus támogatása is hozzáadva lett, amelynek célja a csatorna figyelése használat előtt a radar rendszer általi foglaltság ellenőrzésére.
- Az SAE (Simultaneous Authentication of Equals) kapcsolódási megállapodás módszerének megvalósításában lehetőség van jelszó kérésére a RADIUS-szervertől.
- Hozzáadva az ACL (Access-Control List) és PSK (Pre-Shared Key) ellenőrzések támogatása RADIUS protokoll használatával a kapcsolódási megállapodás során (wpa_psk_radius=3).
- Az ACS (Automatic Channel Selection) mechanizmus megvalósításában a használt csatorna kiválasztásakor figyelembe veszik a sávszélességet és a csatornák típusait.
- Bővült a támogatás, hogy egy hozzáférési ponton több BSSID (Basic Service Set Identifier) azonosítót használjanak virtuális vezeték nélküli hálózatok működtetésére.
- Kezdő támogatás adva a TLS használatához a RADIUS protokollon keresztüli kérések titkosításához.
- A wpa_supplicant-re specifikus változások:
- A MACsec (IEEE 802.1AE) szabvány végrehajtásában, amely védelmi eszközöket biztosít az adatátviteli csatorna védelméhez, lehetőséget ad a GCM-AES-256 titkosítási készlet használatára és hozzáadja a hardveres gyorsítás támogatását a hálózati adapter oldalra történő áthelyezéssel.
- A TLSv1.3 esetében javult az EAP-TLS támogatás.
- Fokozott védelem a DoS-támadások ellen PMF (Protected Management Frames) használatakor.
- Javult a roaming az AKM (Authentication and Key Management) között a SME/BSS (Service Management Entity/Basic Service Set) illesztőprogram választásakor.
- Lehetőség nyílik a PASN (Protected Access Secure Negotiation) mechanizmus használatára külső programokkal.
- Hozzáadva a előre generált MAC-címek (mac_addr=3) használata a véletlenszerű MAC generálása helyett minden hálózathoz.
- Alapértelmezés szerint engedélyezve van a második fázisú hitelesítés (phase2_auth=1) használata az EAP-PEAP protokoll esetében, amely a kliens hitelesítését jelenti egy védett alagútban.
- Kibővült a MSCS (Multi-Streaming Channel Switching) technológia támogatása, amely lehetővé teszi az eszköz számára, hogy váltogasson a különböző csatornák között.
- Kibővült az SCS (Spatial Channel Switching) technológia támogatása a fontos forgalom előnyben részesített kezeléséhez QoS használata mellett.
Forrás: opennet.ru
