Másfél év fejlesztés után megjelent a hostapd/wpa_supplicant 2.10, amely az IEEE 802.1X, WPA, WPA2, WPA3 és EAP vezeték nélküli protokollok működtetéséhez szükséges készlet. Ez magában foglalja a wpa_supplicant alkalmazást, amely kliensként csatlakozik a vezeték nélküli hálózathoz, valamint a hostapd háttérfolyamatot, amely a hozzáférési pont és az autentikációs szerver működtetéséért felelős. A rendszer tartalmazza a WPA hitelesítőt, a RADIUS klienst/szervert és az EAP szervert. A projekt forráskódja BSD licenc alatt érhető el.
A funkcionális változások mellett az új verzióban blokkolva lett egy új támadási vektor, amely a SAE (Simultaneous Authentication of Equals) és az EAP-pwd kapcsolatok egyesítésének a módszerét érinti. Egy támadó, aki nem privilégizált kódot futtathat a vezeték nélküli hálózatra csatlakozó felhasználó rendszerén, a rendszer aktivitásának nyomon követésével információkat szerezhet a jelszó jellemzőiről, és ezeket felhasználva offline módban egyszerűsítheti a jelszó feltörését. A probléma a jelszó jellemzőiről a mellékcsatornákon kiszivárgó információk miatt áll fenn, amelyek lehetővé teszik, hogy a jelszó részeinek kiválasztását közvetett adatok alapján, például műveletek késleltetésének megváltozása által, pontosítsák.
A 2019-ben megszüntetett hasonló problémákkal ellentétben az új sérülékenység abból adódik, hogy a crypto_ec_point_solve_y_coord() függvényben használt külső kriptográfiai primitívek nem biztosították az üzemeltetési idő állandóságát, függetlenül az észlelt adatok jellegétől. A processzor gyorsítótárának viselkedésének elemzése alapján egy támadó, aki nem privilégizált kódot tud futtatni ugyanazon a processzormagon, információt nyerhet a jelszóval végzett műveletek menetrendjéről az SAE/EAP-pwd folyamat során. A probléma minden olyan wpa_supplicant és hostapd verziót érint, amelyet SAE (CONFIG_SAE=y) és EAP-pwd (CONFIG_EAP_PWD=y) támogatásával fordítottak.
A hostapd és wpa_supplicant új verzióiban végrehajtott egyéb változások:
- Új lehetőség került bevezetésre az OpenSSL 3.0 kriptográfiai könyvtárral történő fordításhoz.
- Megvalósult a WPA3 specifikáció frissítésében javasolt Beacon Protection mechanizmus, amely a vezeték nélküli hálózat aktív támadásokkal szembeni védelmét célozza, amelyek manipulálják a Beacon keretek változását.
- Hozzáadva a DPP 2 protokoll támogatása (Wi-Fi Eszköz Kiosztási Protokoll), amely meghatározza a nyílt kulcsokon alapuló hitelesítési módszert, mely a WPA3 szabványban van, lehetővé téve az eszközök képernyő nélküli egyszerű beállítását. A beállítás egy másik, már a vezeték nélküli hálózatra csatlakoztatott, fejlettebb eszköz használatával történik. Például a képernyő nélküli IoT-eszköz beállításait egy okostelefon segítségével lehet megadni, alapul véve egy QR-kódot, amelyet a házra nyomtattak.
- Hozzáadva a kiterjesztett kulcsazonosítók (Extended Key ID, IEEE 802.11-2016) támogatása.
- A SAE kapcsolatfelállító módszer megvalósításába integrálva lett a SAE-PK (SAE Nyilvános Kulcs) védelmi mechanizmus támogatása. Megvalósításra került az azonnali visszaigazolás elküldésének módja, amely a 'sae_config_immediate=1' opcióval aktiválható, valamint a hash-to-element mechanizmus, amely a sae_pwe paraméter 1 vagy 2 értékre állításakor aktiválódik.
- Az EAP-TLS megvalósítása során hozzáadva a TLS 1.3 támogatása (alapértelmezés szerint kikapcsolva).
- Új beállítások (max_auth_rounds, max_auth_rounds_short) kerültek hozzáadásra az EAP-üzenetek számának megváltoztatására az hitelesítési folyamat során (a korlátok módosítására lehet szükség nagyon nagy tanúsítványok használata esetén).
- Hozzáadva a PASN (Pre Association Security Negotiation) mechanizmus támogatása a biztonságos kapcsolat létrehozásához és a vezérlő keretek védelméhez a csatlakozás korai szakaszában.
- Megvalósítva a Transition Disable mechanizmus, amely automatikusan kikapcsolja a roaming módot a biztonság fokozása érdekében, lehetővé téve a hozzáférési pontok közötti váltást a mozgás során.
- A gyári beállításokból eltávolítva a WEP protokoll támogatása (WEP támogatás visszaállításához CONFIG_WEP=y opcióval kell újra buildelni). Eltávolítva az elavult funkciót, amely IAPP (Inter-Access Point Protocol) protokollal kapcsolatos. A libnl 1.1 támogatása megszüntetve. Hozzáadva a CONFIG_NO_TKIP=y build opció TKIP támogatás nélküli buildhez.
- Kijavítva a UPnP megvalósításban található sebezhetőségeket (CVE-2020-12695), a P2P/Wi-Fi Direct kezelőjében (CVE-2021-27803) és a PMF védelmi mechanizmusban (CVE-2019-16275).
- A hostapd-hez kapcsolódó változások között megemelhető a HEW (High-Efficiency Wireless, IEEE 802.11ax) vezeték nélküli hálózatok támogatásának bővítése, beleértve a 6 GHz frekvenciatartomány használatát.
- A wpa_supplicant-re specifikus változások:
- Hozzáadva a SAE (WPA3-Personal) AP módbeállítások támogatása.
- Az EDMG csatornákhoz (IEEE 802.11ay) a P2P mód támogatásának megvalósítása.
- Javították a sávszélesség előrejelzését és a BSS kiválasztását.
- Bővült a D-Bus alapú kezelőfelület.
- Új backend került hozzáadásra, amely a jelszavakat egy külön fájlban tárolja, lehetővé téve a bizalmas információk kiszervezését a fő konfigurációs fájlból.
- Új politikák kerültek hozzáadásra az SCS, MSCS és DSCP számára.
Forrás: opennet.ru
