שחרור של hostapd ו-wpa_supplicant 2.10

לאחר שנה וחצי של פיתוח, הוכנה ההפצה של hostapd/wpa_supplicant 2.10, ערכה לתמיכה בפרוטוקולים האלחוטיים IEEE 802.1X, WPA, WPA2, WPA3 ו-EAP, המורכבת מאפליקציית wpa_supplicant לחיבור לרשת אלחוטית כלקוח ותהליך הרקע של hostapd לספק תפעול של נקודת הגישה ושרת אימות, כולל רכיבים כגון WPA Authenticator, לקוח/שרת אימות RADIUS, שרת EAP. קוד המקור של הפרויקט מופץ תחת רישיון BSD.

בנוסף לשינויים פונקציונליים, הגרסה החדשה חוסמת וקטור התקפה צדדי חדש המשפיע על שיטת המשא ומתן של חיבור SAE (Simultaneous Authentication of Equals) ועל פרוטוקול EAP-pwd. תוקף שיש לו את היכולת להפעיל קוד לא מוגן במערכת של משתמש המתחבר לרשת אלחוטית יכול, באמצעות ניטור פעילות במערכת, לקבל מידע על מאפייני הסיסמה ולהשתמש בהם כדי לפשט את ניחוש הסיסמה במצב לא מקוון. הבעיה נגרמת כתוצאה מדליפת מידע דרך ערוצי צד שלישי על מאפייני הסיסמה, המאפשרת, על סמך נתונים עקיפים, כגון שינויים בעיכובים במהלך הפעולות, להבהיר את נכונות בחירת חלקי הסיסמה ב. תהליך הבחירה בו.

בניגוד לבעיות דומות שתוקנו ב-2019, הפגיעות החדשה נגרמת מהעובדה שהפרימיטיבים ההצפנה החיצוניים המשמשים בפונקציה crypto_ec_point_solve_y_coord() לא סיפקו זמן ביצוע קבוע, ללא קשר לאופי הנתונים המעובדים. בהתבסס על ניתוח ההתנהגות של מטמון המעבד, תוקף שהייתה לו יכולת להריץ קוד לא מוגן על אותה ליבת מעבד יכול לקבל מידע על התקדמות פעולות הסיסמה ב-SAE/EAP-pwd. הבעיה משפיעה על כל הגירסאות של wpa_supplicant ו-hostapd המורכבות עם תמיכה ב-SAE (CONFIG_SAE=y) ו-EAP-pwd (CONFIG_EAP_PWD=y).

שינויים נוספים במהדורות החדשות של hostapd ו-wpa_supplicant:

• נוספה את היכולת לבנות עם ספריית ההצפנה OpenSSL 3.0.
• מנגנון Beacon Protection המוצע בעדכון מפרט WPA3 יושם, שנועד להגן מפני התקפות אקטיביות על הרשת האלחוטית המבצעות מניפולציות בשינויים במסגרות Beacon.
• נוספה תמיכה ב-DPP 2 (פרוטוקול Wi-Fi Device Provisioning), המגדיר את שיטת אימות המפתח הציבורי המשמשת בתקן WPA3 לתצורה פשוטה של ​​מכשירים ללא ממשק על המסך. ההגדרה מתבצעת באמצעות מכשיר אחר מתקדם יותר שכבר מחובר לרשת האלחוטית. לדוגמה, ניתן להגדיר פרמטרים למכשיר IoT ללא מסך מסמארטפון על סמך תמונת מצב של קוד QR המודפס על המארז;
• נוספה תמיכה עבור מזהה מפתח מורחב (IEEE 802.11-2016).
• תמיכה במנגנון האבטחה SAE-PK (SAE Public Key) נוספה ליישום שיטת המשא ומתן על חיבור SAE. מיושם מצב לשליחת אישור מיידי, המופעל על ידי האפשרות "sae_config_immediate=1", כמו גם מנגנון hash-to-element, המופעל כאשר הפרמטר sae_pwe מוגדר ל-1 או 2.
• הטמעת EAP-TLS הוסיפה תמיכה עבור TLS 1.3 (מושבת כברירת מחדל).
• נוספו הגדרות חדשות (max_auth_rounds, max_auth_rounds_short) כדי לשנות את המגבלות על מספר הודעות EAP במהלך תהליך האימות (ייתכן שיידרשו שינויים במגבלות בעת שימוש בתעודות גדולות מאוד).
• נוספה תמיכה במנגנון PASN (Pre Association Security Negotiation) ליצירת חיבור מאובטח והגנה על חילופי מסגרות בקרה בשלב חיבור מוקדם יותר.
• הוטמע מנגנון Transition Disable, המאפשר לך לבטל אוטומטית את מצב הנדידה, המאפשר לך לעבור בין נקודות גישה תוך כדי תנועה, כדי לשפר את האבטחה.
• תמיכה בפרוטוקול WEP אינה נכללת בבניית ברירת מחדל (בנייה מחדש עם האפשרות CONFIG_WEP=y נדרשת כדי להחזיר תמיכה ב-WEP). הוסרה פונקציונליות מדור קודם הקשורה ל-Inter-Access Point Protocol (IAPP). התמיכה ב-libnl 1.1 הופסקה. נוספה אפשרות בנייה CONFIG_NO_TKIP=y עבור בנייה ללא תמיכה ב-TKIP.
• תיקון פגיעויות ביישום UPnP (CVE-2020-12695), במטפל P2P/Wi-Fi Direct (CVE-2021-27803) ובמנגנון ההגנה של PMF (CVE-2019-16275).
• שינויים ספציפיים ל-Hostapd כוללים תמיכה מורחבת עבור רשתות אלחוטיות של HEW (High-Efficiency Wireless, IEEE 802.11ax), כולל היכולת להשתמש בטווח התדרים של 6 GHz.
• שינויים ספציפיים ל-wpa_supplicant:
  • נוספה תמיכה בהגדרות מצב נקודת גישה עבור SAE (WPA3-Personal).
  • תמיכה במצב P802.11P מיושמת עבור ערוצי EDMG (IEEE 2ay).
  • חיזוי תפוקה משופרים ובחירת BSS.
  • ממשק הבקרה באמצעות D-Bus הורחב.
  • קצה אחורי חדש נוסף לאחסון סיסמאות בקובץ נפרד, המאפשר לך להסיר מידע רגיש מקובץ התצורה הראשי.
  • נוספו מדיניות חדשה עבור SCS, MSCS ו-DSCP.

מקור: OpenNet.ru