{"id":103000,"date":"2022-01-18T15:36:39","date_gmt":"2022-01-18T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10"},"modified":"2022-01-18T15:36:39","modified_gmt":"2022-01-18T13:36:39","slug":"%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","title":{"rendered":"Uscita di hostapd e wpa_supplicant 2.10","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dopo un anno e mezzo di sviluppo, \u00e8 stata preparata la versione 2.10 di hostapd\/wpa_supplicant, un insieme per il supporto dei protocolli wireless IEEE 802.1X, WPA, WPA2, WPA3 e EAP. Questo include l'applicazione wpa_supplicant per la connessione a una rete wireless in qualit\u00e0 di client e il processo in background hostapd per gestire l'access point e il server di autenticazione, con componenti come WPA Authenticator, client\/server di autenticazione RADIUS e server EAP. I sorgenti del progetto sono distribuiti sotto licenza BSD. <\/p>\n
Oltre alle modifiche funzionali nella nuova versione, \u00e8 stata bloccata una nuova via di attacco tramite canali esterni, che coinvolge il metodo di autenticazione simultanea SAE (Simultaneous Authentication of Equals) e il protocollo EAP-pwd. Un intruso in grado di eseguire codice non privilegiato sul sistema di un utente che si connette a una rete wireless pu\u00f2, monitorando l'attivit\u00e0 del sistema, ottenere informazioni sulle caratteristiche della password e utilizzarle per semplificare il cracking della password in modalit\u00e0 offline. Il problema \u00e8 causato dalla fuga di informazioni sulle caratteristiche della password attraverso canali esterni, che permettono di affinare la correttezza della selezione delle parti della password durante il processo di tentativo di accesso, basandosi su dati indiretti come le variazioni dei tempi di esecuzione delle operazioni. <\/p>\n
A differenza dei problemi simili risolti nel 2019, la nuova vulnerabilit\u00e0 \u00e8 causata dal fatto che i primitivi crittografici esterni utilizzati nella funzione crypto_ec_point_solve_y_coord() non garantivano un tempo di esecuzione costante, indipendentemente dalla natura dei dati trattati. Sulla base dell'analisi del comportamento della cache della CPU, un attaccante che avesse la possibilit\u00e0 di eseguire codice non privilegiato sullo stesso core della CPU poteva ottenere informazioni sullo stato delle operazioni con la password in SAE\/EAP-pwd. Tutte le versioni di wpa_supplicant e hostapd compilate con supporto SAE (CONFIG_SAE=y) e EAP-pwd (CONFIG_EAP_PWD=y) sono vulnerabili al problema. <\/p>\n
Altre modifiche nelle nuove versioni di hostapd e wpa_supplicant: <\/p>\n
\n
\u00c8 stata aggiunta la possibilit\u00e0 di compilare con la libreria crittografica OpenSSL 3.0.\n
\u00c8 stato implementato il meccanismo Beacon Protection, proposto nell'aggiornamento della specifica WPA3, progettato per proteggere dalle attacchi attivi sulla rete wireless che manipolano la modifica dei pacchetti Beacon.\n
\u00c8 stata aggiunta la supporto per il protocollo DPP 2 (Wi-Fi Device Provisioning Protocol), che definisce il metodo di autenticazione basato su chiavi pubbliche, utilizzato nello standard WPA3 per semplificare la configurazione dei dispositivi senza interfaccia a schermo. La configurazione avviene utilizzando un altro dispositivo pi\u00f9 avanzato gi\u00e0 connesso alla rete wireless. Ad esempio, le impostazioni per un dispositivo IoT senza schermo possono essere impostate tramite uno smartphone, utilizzando un codice QR stampato sulla scocca.\n
\u00c8 stata aggiunta la supporto per gli identificatori di chiave estesi (Extended Key ID, IEEE 802.11-2016).\n
Nell'implementazione di EAP-TLS \u00e8 stata aggiunta la supporto per TLS 1.3 (disattivato per impostazione predefinita).\n
Sono state aggiunte nuove impostazioni (max_auth_rounds, max_auth_rounds_short) per modificare i limiti sul numero di messaggi EAP durante il processo di autenticazione (la modifica dei limiti pu\u00f2 essere necessaria quando si utilizzano certificati molto grandi).\n
\u00c8 stata aggiunta la supporto al meccanismo PASN (Pre Association Security Negotiation) per stabilire una connessione protetta e proteggere lo scambio di frame di controllo durante le fasi iniziali di connessione.\n
\u00c8 stato implementato il meccanismo di Disattivazione della Transizione, che consente di disattivare automaticamente la modalit\u00e0 roaming per migliorare la sicurezza, consentendo il passaggio tra i punti di accesso mentre ci si sposta.\n
Il supporto per il protocollo WEP \u00e8 stato escluso dalle build di default (per ripristinare il supporto WEP \u00e8 necessaria una ricompilazione con l'opzione CONFIG_WEP=y). \u00c8 stata rimossa la funzionalit\u00e0 obsoleta legata al protocollo IAPP (Inter-Access Point Protocol). \u00c8 stata interrotta la supporto per libnl 1.1. \u00c8 stata aggiunta l'opzione di compilazione CONFIG_NO_TKIP=y per una build senza supporto TKIP.\n
Sono state corrette vulnerabilit\u00e0 nella implementazione di UPnP (CVE-2020-12695), nel gestore P2P\/Wi-Fi Direct (CVE-2021-27803) e nel meccanismo di protezione PMF (CVE-2019-16275).\n
Tra le modifiche specifiche di hostapd, si evidenzia l'estensione del supporto per le reti wireless HEW (High-Efficiency Wireless, IEEE 802.11ax), compresa la possibilit\u00e0 di utilizzo della banda di frequenza a 6 GHz.\n
Modifiche specifiche per wpa_supplicant:\n
\n
\u00c8 stato aggiunto il supporto per le impostazioni della modalit\u00e0 punto di accesso per SAE (WPA3-Personal).\n
Per i canali EDMG (IEEE 802.11ay) \u00e8 stato implementato il supporto per la modalit\u00e0 P2P.\n
Migliorata la previsione della larghezza di banda e la selezione di BSS.\n
Espanso l'interfaccia di gestione tramite D-Bus.\n
Aggiunto un nuovo backend per la memorizzazione delle password in un file separato, consentendo di estrarre informazioni sensibili dal file di configurazione principale.\n
Aggiunte nuove politiche per SCS, MSCS e DSCP. <\/ul>\n<\/ul>\n