Dopo due anni e mezzo di sviluppo è stata pubblicata la versione hostapd/wpa_supplicant 2.11, un insieme per abilitare il funzionamento dei protocolli wireless IEEE 802.1X, WPA, WPA2, WPA3 ed EAP. Questo insieme include l'applicazione wpa_supplicant per connettersi a una rete wireless come client e un processo in background hostapd per abilitare il funzionamento del punto di accesso e del server di autenticazione, includendo componenti come WPA Authenticator, client/server di autenticazione RADIUS, server EAP. I codici sorgente del progetto sono distribuiti sotto licenza BSD.
Le principali novità delle nuove versioni di hostapd e wpa_supplicant:
- Aggiunta la supporto iniziale per Wi-Fi 7 (EHT/IEEE 802.11be) e migliorato il supporto per Wi-Fi 6 (HE/IEEE 802.11ax).
- Aggiunta la supporto per la terza versione del protocollo DPP (Device Provisioning Protocol), conosciuto come "Wi-Fi Easy Connect", e fornita la possibilità di trasmettere parametri con impostazioni Wi-Fi tramite DPP. Il protocollo DPP permette una configurazione semplificata dei dispositivi wireless senza interfaccia a schermo, utilizzando un altro dispositivo più avanzato già connesso alla rete wireless. DPP si basa sull'uso dell'autenticazione a chiave pubblica, ad esempio, i parametri per un dispositivo IoT senza schermo possono essere impostati da uno smartphone basato su uno scatto di codice QR stampato sul dispositivo che codifica la chiave pubblica.
- Aggiunto supporto per le modifiche dell'API proposte nel ramo della libreria crittografica OpenSSL 3.0.
- Nell'implementazione dei protocolli di autenticazione EAP-SIM (Extensible Authentication Protocol — Subscriber Identity Module) e EAP-AKA (Extensible Authentication Protocol — Authentication and Key Agreement), è stato introdotto un supporto per il meccanismo di protezione della privacy dell'identificatore dell'abbonato della rete mobile, evitando la rivelazione dell'IMSI durante la connessione al punto di accesso.
- Aggiunto supporto per le modalità di funzionamento SAE AKM (Simultaneous Authentication of Equals — Authentication and Key Management) con chiavi di dimensioni variabili.
- Aggiunto supporto per una variante AKM (Authentication and Key Management) basata su hash SHA384.
- Nell'implementazione del meccanismo PASN (Pre Association Security Negotiation), utilizzato per stabilire una connessione sicura e proteggere lo scambio di frame di controllo nelle prime fasi della connessione, è stato assicurato il supporto per la tecnologia "secure ranging" per determinare in modo sicuro la distanza tra due dispositivi Wi-Fi.
- Aggiunta la supporto per il meccanismo USD (Unsynchronized Service Discovery), che semplifica la scoperta dei servizi da parte dei dispositivi wireless.
- Aggiunta la supporto per la protezione esplicita dell'SSID durante la negoziazione della connessione in quattro fasi. La protezione viene attivata tramite l'opzione «ssid_protection=1» e blocca la vulnerabilità CVE-2023-52424, che consente di connettersi a una rete wireless meno protetta.
- Modifiche specifiche per hostapd:
- Aggiunta la supporto per la rilevazione in background delle interferenze provenienti da sistemi radar che operano nelle stesse bande di frequenza (alla rilevazione avviene il cambio su altre frequenze). Aggiunta anche la supporto per il meccanismo CAC (Channel Availability Check), destinato all'ascolto del canale prima dell'uso per verificare la sua occupazione da parte del sistema radar.
- Nell'implementazione del metodo di negoziazione delle connessioni SAE (Simultaneous Authentication of Equals) è stata aggiunta la possibilità diRichiedere la password al server RADIUS.
- Aggiunta la supporto per controlli ACL (Access-Control List) e PSK (Pre-Shared Key) utilizzando il protocollo RADIUS durante la negoziazione della connessione (wpa_psk_radius=3).
- Nell'implementazione del meccanismo ACS (Automatic Channel Selection) è stata garantita la considerazione della larghezza di banda e dei tipi di canali nella scelta del canale utilizzato.
- Espansa la supporto per l'utilizzo di più identificatori BSSID (Basic Service Set Identifier) su un singolo punto di accesso per garantire il funzionamento di reti wireless virtuali.
- Aggiunta la supporto iniziale per l'uso di TLS per la crittografia delle richieste tramite il protocollo RADIUS.
- Modifiche specifiche per wpa_supplicant:
- Nell'implementazione dello standard MACsec (IEEE 802.1AE), che fornisce strumenti per la protezione del canale di trasmissione dati, è stata offerta la possibilità di utilizzare il set di cifratura GCM-AES-256 e aggiunta la supporto per l'accelerazione hardware tramite il trasferimento delle operazioni sul lato dell'adattatore di rete.
- Per TLSv1.3 è migliorata la supporto per EAP-TLS.
- Rinforzata la protezione contro attacchi DoS durante l'uso di PMF (Protected Management Frames).
- Migliorato il roaming tra AKM (Authentication and Key Management) durante la scelta del driver SME/BSS (Service Management Entity/Basic Service Set).
- Offerta la possibilità di utilizzo del meccanismo PASN (Protected Access Secure Negotiation) con programmi esterni.
- Aggiunta la supporto per l'uso di indirizzi MAC pre-generati (mac_addr=3) invece della generazione di un MAC casuale per ciascuna rete.
- L'uso della seconda fase di autenticazione (phase2_auth=1) per il protocollo EAP-PEAP è abilitato di default, e implica l'autenticazione del cliente all'interno di un tunnel sicuro.
- È stata ampliata la supporto della tecnologia MSCS (Multi-Streaming Channel Switching), che consente al dispositivo di passare tra più canali.
- È stata ampliata la supporto della tecnologia SCS (Spatial Channel Switching) per una gestione prioritaria del traffico importante durante l'uso del QoS.
Fonte: opennet.ru
