Hostapd-ისა და wpa_supplicant-ის გამოშვება 2.10

განვითარების წელიწადნახევრის შემდეგ მომზადდა hostapd/wpa_supplicant 2.10 გამოშვება, უკაბელო პროტოკოლების IEEE 802.1X, WPA, WPA2, WPA3 და EAP მხარდაჭერის ნაკრები, რომელიც შედგება wpa_supplicant აპლიკაციისგან უკაბელო ქსელთან დასაკავშირებლად. როგორც კლიენტი და ჰოსტაპდის ფონური პროცესი, რათა უზრუნველყოს წვდომის წერტილისა და ავტორიზაციის სერვერის მუშაობა, ისეთი კომპონენტების ჩათვლით, როგორიცაა WPA Authenticator, RADIUS ავტორიზაციის კლიენტი/სერვერი, EAP სერვერი. პროექტის წყაროს კოდი ვრცელდება BSD ლიცენზიით.

ფუნქციური ცვლილებების გარდა, ახალი ვერსია ბლოკავს გვერდითი არხის შეტევის ახალ ვექტორს, რომელიც გავლენას ახდენს SAE (ტოლების ერთდროული ავთენტიფიკაცია) კავშირის მოლაპარაკების მეთოდზე და EAP-pwd პროტოკოლზე. თავდამსხმელს, რომელსაც აქვს უსადენო ქსელთან დაკავშირებულ მომხმარებლის სისტემაზე არაპრივილეგირებული კოდის შესრულების უნარი, შეუძლია სისტემაში აქტივობის მონიტორინგით მოიპოვოს ინფორმაცია პაროლის მახასიათებლების შესახებ და გამოიყენოს ისინი ოფლაინ რეჟიმში პაროლის გამოცნობის გასამარტივებლად. პრობლემა გამოწვეულია პაროლის მახასიათებლების შესახებ ინფორმაციის მესამე მხარის არხებით გაჟონვით, რაც საშუალებას იძლევა არაპირდაპირი მონაცემების საფუძველზე, როგორიცაა ოპერაციების დროს შეფერხებების ცვლილებები, დაზუსტდეს პაროლის ნაწილების არჩევის სისწორე. მისი შერჩევის პროცესი.

2019 წელს დაფიქსირებული მსგავსი პრობლემებისგან განსხვავებით, ახალი დაუცველობა გამოწვეულია იმით, რომ კრიპტო_ec_point_solve_y_coord() ფუნქციაში გამოყენებული გარე კრიპტოგრაფიული პრიმიტივები არ უზრუნველყოფდნენ შესრულების მუდმივ დროს, განურჩევლად დამუშავებული მონაცემების ხასიათისა. პროცესორის ქეშის ქცევის ანალიზზე დაყრდნობით, თავდამსხმელს, რომელსაც ჰქონდა არაპრივილეგირებული კოდის გაშვების უნარი იმავე პროცესორის ბირთვზე, შეეძლო ინფორმაციის მიღება პაროლის ოპერაციების პროგრესის შესახებ SAE/EAP-pwd-ში. პრობლემა ეხება wpa_supplicant და hostapd-ის ყველა ვერსიას, რომლებიც შედგენილია SAE (CONFIG_SAE=y) და EAP-pwd (CONFIG_EAP_PWD=y) მხარდაჭერით.

სხვა ცვლილებები hostapd-ისა და wpa_supplicant-ის ახალ გამოშვებებში:

• დამატებულია OpenSSL 3.0 კრიპტოგრაფიული ბიბლიოთეკის შექმნის შესაძლებლობა.
• WPA3 სპეციფიკაციის განახლებაში შემოთავაზებული Beacon Protection მექანიზმი დანერგილია, რომელიც შექმნილია უსადენო ქსელზე აქტიური თავდასხმებისგან დასაცავად, რომლებიც მანიპულირებენ Beacon-ის ჩარჩოებში ცვლილებებზე.
• დამატებულია მხარდაჭერა DPP 2-ისთვის (Wi-Fi Device Provisioning Protocol), რომელიც განსაზღვრავს საჯარო გასაღების ავტორიზაციის მეთოდს, რომელიც გამოიყენება WPA3 სტანდარტში მოწყობილობების გამარტივებული კონფიგურაციისთვის ეკრანზე ინტერფეისის გარეშე. დაყენება ხორციელდება სხვა უფრო მოწინავე მოწყობილობის გამოყენებით, რომელიც უკვე დაკავშირებულია უკაბელო ქსელთან. მაგალითად, ეკრანის გარეშე IoT მოწყობილობის პარამეტრების დაყენება შესაძლებელია სმარტფონიდან ქეისზე დაბეჭდილი QR კოდის სნეპშოტის საფუძველზე;
• დამატებულია გაფართოებული გასაღების ID-ის მხარდაჭერა (IEEE 802.11-2016).
• SAE-PK (SAE საჯარო გასაღები) უსაფრთხოების მექანიზმის მხარდაჭერა დაემატა SAE კავშირის მოლაპარაკების მეთოდის განხორციელებას. დანერგილია დადასტურების მყისიერი გაგზავნის რეჟიმი, რომელიც ჩართულია "sae_config_immediate=1" ოფციით, ასევე ჰეშ-ელემენტამდე მექანიზმი, ჩართულია, როდესაც sae_pwe პარამეტრი დაყენებულია 1 ან 2-ზე.
• EAP-TLS განხორციელებამ დაამატა მხარდაჭერა TLS 1.3-ისთვის (ნაგულისხმევად გამორთულია).
• დამატებულია ახალი პარამეტრები (max_auth_rounds, max_auth_rounds_short) ავტორიზაციის პროცესში EAP შეტყობინებების რაოდენობის შეზღუდვის შესაცვლელად (შეიძლება საჭირო გახდეს ლიმიტების ცვლილება ძალიან დიდი სერთიფიკატების გამოყენებისას).
• დამატებულია მხარდაჭერა PASN (Pre Association Security Negotiation) მექანიზმისთვის უსაფრთხო კავშირის დამყარებისთვის და კონტროლის ჩარჩოების გაცვლის დასაცავად ადრე კავშირის ეტაპზე.
• დანერგილია Transition Disable მექანიზმი, რომელიც საშუალებას გაძლევთ ავტომატურად გამორთოთ როუმინგის რეჟიმი, რომელიც საშუალებას გაძლევთ გადახვიდეთ წვდომის წერტილებს შორის გადაადგილებისას უსაფრთხოების გაზრდის მიზნით.
• WEP პროტოკოლის მხარდაჭერა გამორიცხულია ნაგულისხმევი build-ებიდან (WEP-ის მხარდაჭერის დასაბრუნებლად საჭიროა ხელახალი აშენება CONFIG_WEP=y პარამეტრით). წაშლილია მოძველებული ფუნქციონალობა, რომელიც დაკავშირებულია წვდომის წერტილთა შორის პროტოკოლთან (IAPP). libnl 1.1-ის მხარდაჭერა შეწყდა. დამატებულია build-ის ვარიანტი CONFIG_NO_TKIP=y build-ებისთვის TKIP მხარდაჭერის გარეშე.
• დაფიქსირდა დაუცველობა UPnP დანერგვაში (CVE-2020-12695), P2P/Wi-Fi Direct დამმუშავებელში (CVE-2021-27803) და PMF დაცვის მექანიზმში (CVE-2019-16275).
• Hostapd-ის სპეციფიკური ცვლილებები მოიცავს HEW (High-Efficiency Wireless, IEEE 802.11ax) უკაბელო ქსელების გაფართოებულ მხარდაჭერას, მათ შორის 6 გჰც სიხშირის დიაპაზონის გამოყენების შესაძლებლობას.
• wpa_supplicant-ის სპეციფიკური ცვლილებები:
  • დამატებულია SAE-სთვის წვდომის წერტილის რეჟიმის პარამეტრების მხარდაჭერა (WPA3-Personal).
  • P802.11P რეჟიმის მხარდაჭერა დანერგილია EDMG არხებისთვის (IEEE 2ay).
  • გაუმჯობესებული გამტარუნარიანობის პროგნოზირება და BSS შერჩევა.
  • კონტროლის ინტერფეისი D-Bus-ის საშუალებით გაფართოვდა.
  • დამატებულია ახალი ბექენდი პაროლების ცალკე ფაილში შესანახად, რომელიც საშუალებას გაძლევთ ამოიღოთ მგრძნობიარე ინფორმაცია ძირითადი კონფიგურაციის ფაილიდან.
  • დამატებულია ახალი პოლიტიკა SCS, MSCS და DSCP-სთვის.

წყარო: opennet.ru