ການປ່ອຍ hostapd ແລະ wpa_supplicant 2.10

ຫຼັງຈາກຫນຶ່ງປີແລະເຄິ່ງຫນຶ່ງຂອງການພັດທະນາ, ການປ່ອຍຂອງ hostapd/wpa_supplicant 2.10 ໄດ້ຖືກກະກຽມ, ຊຸດສໍາລັບການສະຫນັບສະຫນູນໂປໂຕຄອນໄຮ້ສາຍ IEEE 802.1X, WPA, WPA2, WPA3 ແລະ EAP, ປະກອບດ້ວຍຄໍາຮ້ອງສະຫມັກ wpa_supplicant ເພື່ອເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍໄຮ້ສາຍ. ເປັນລູກຄ້າແລະຂະບວນການພື້ນຖານຂອງ hostapd ເພື່ອສະຫນອງການດໍາເນີນງານຂອງຈຸດເຂົ້າເຖິງແລະເຄື່ອງແມ່ຂ່າຍການພິສູດຢືນຢັນ, ລວມທັງອົງປະກອບເຊັ່ນ WPA Authenticator, RADIUS authentication client/server, EAP server. ລະຫັດແຫຼ່ງຂອງໂຄງການແມ່ນແຈກຢາຍພາຍໃຕ້ໃບອະນຸຍາດ BSD.

ນອກເຫນືອຈາກການປ່ຽນແປງທີ່ເປັນປະໂຫຍດ, ສະບັບໃຫມ່ໄດ້ສະກັດກັ້ນ vector ການໂຈມຕີຊ່ອງທາງຂ້າງໃຫມ່ທີ່ມີຜົນກະທົບຕໍ່ວິທີການເຈລະຈາການເຊື່ອມຕໍ່ SAE (Simultaneous Authentication of Equals) ແລະອະນຸສັນຍາ EAP-pwd. ຜູ້ໂຈມຕີທີ່ມີຄວາມສາມາດໃນການປະຕິບັດລະຫັດທີ່ບໍ່ມີສິດທິໃນລະບົບຂອງຜູ້ໃຊ້ທີ່ເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍໄຮ້ສາຍສາມາດ, ໂດຍການຕິດຕາມກິດຈະກໍາໃນລະບົບ, ໄດ້ຮັບຂໍ້ມູນກ່ຽວກັບຄຸນລັກສະນະຂອງລະຫັດຜ່ານແລະນໍາໃຊ້ພວກມັນເພື່ອງ່າຍການຄາດເດົາລະຫັດຜ່ານໃນຮູບແບບອອບໄລນ໌. ບັນຫາແມ່ນເກີດມາຈາກການຮົ່ວໄຫລຜ່ານຊ່ອງທາງຂອງພາກສ່ວນທີສາມກ່ຽວກັບລັກສະນະຂອງລະຫັດຜ່ານ, ເຊິ່ງອະນຸຍາດໃຫ້, ອີງໃສ່ຂໍ້ມູນທາງອ້ອມ, ເຊັ່ນ: ການປ່ຽນແປງຄວາມລ່າຊ້າໃນລະຫວ່າງການປະຕິບັດງານ, ເພື່ອຊີ້ແຈງຄວາມຖືກຕ້ອງຂອງການເລືອກສ່ວນຂອງລະຫັດຜ່ານໃນ. ຂະ​ບວນ​ການ​ຂອງ​ການ​ເລືອກ​ມັນ​.

ບໍ່ເຫມືອນກັບບັນຫາທີ່ຄ້າຍຄືກັນທີ່ຖືກແກ້ໄຂໃນປີ 2019, ຊ່ອງໂຫວ່ໃຫມ່ແມ່ນເກີດມາຈາກຄວາມຈິງທີ່ວ່າ cryptographic primitives ພາຍນອກທີ່ໃຊ້ໃນຟັງຊັນ crypto_ec_point_solve_y_coord() ບໍ່ໄດ້ໃຫ້ເວລາປະຕິບັດຢ່າງຕໍ່ເນື່ອງ, ໂດຍບໍ່ຄໍານຶງເຖິງລັກສະນະຂອງຂໍ້ມູນທີ່ຖືກປະມວນຜົນ. ອີງຕາມການວິເຄາະພຶດຕິກໍາຂອງຖານຄວາມຈໍາຂອງໂປເຊດເຊີ, ຜູ້ໂຈມຕີທີ່ມີຄວາມສາມາດໃນການແລ່ນລະຫັດທີ່ບໍ່ມີປະໂຫຍດໃນຫຼັກຂອງໂປເຊດເຊີດຽວກັນສາມາດໄດ້ຮັບຂໍ້ມູນກ່ຽວກັບຄວາມຄືບຫນ້າຂອງການປະຕິບັດລະຫັດຜ່ານໃນ SAE/EAP-pwd. ບັນຫາມີຜົນຕໍ່ທຸກລຸ້ນຂອງ wpa_supplicant ແລະ hostapd ທີ່ລວບລວມດ້ວຍການສະຫນັບສະຫນູນ SAE (CONFIG_SAE=y) ແລະ EAP-pwd (CONFIG_EAP_PWD=y).

ການປ່ຽນແປງອື່ນໆໃນການປ່ອຍໃຫມ່ຂອງ hostapd ແລະ wpa_supplicant:

• ເພີ່ມຄວາມສາມາດໃນການສ້າງດ້ວຍຫ້ອງສະຫມຸດ OpenSSL 3.0 cryptographic.
• ກົນໄກການປົກປ້ອງ Beacon ທີ່ສະເຫນີໃນການປັບປຸງຂໍ້ມູນຈໍາເພາະ WPA3 ໄດ້ຖືກປະຕິບັດ, ຖືກອອກແບບມາເພື່ອປ້ອງກັນການໂຈມຕີທີ່ມີການເຄື່ອນໄຫວໃນເຄືອຂ່າຍໄຮ້ສາຍທີ່ຈັດການການປ່ຽນແປງໃນ Beacon frames.
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບ DPP 2 (Wi-Fi Device Provisioning Protocol), ເຊິ່ງກໍານົດວິທີການກວດສອບລະຫັດສາທາລະນະທີ່ໃຊ້ໃນມາດຕະຖານ WPA3 ສໍາລັບການຕັ້ງຄ່າທີ່ງ່າຍດາຍຂອງອຸປະກອນໂດຍບໍ່ມີການໂຕ້ຕອບໃນຫນ້າຈໍ. ການ​ຕັ້ງ​ຄ່າ​ແມ່ນ​ດໍາ​ເນີນ​ການ​ໂດຍ​ນໍາ​ໃຊ້​ອຸ​ປະ​ກອນ​ຂັ້ນ​ສູງ​ອື່ນ​ທີ່​ເຊື່ອມ​ຕໍ່​ກັບ​ເຄືອ​ຂ່າຍ​ໄຮ້​ສາຍ​. ຕົວຢ່າງ, ຕົວກໍານົດການສໍາລັບອຸປະກອນ IoT ທີ່ບໍ່ມີຫນ້າຈໍສາມາດຖືກກໍານົດຈາກໂທລະສັບສະຫຼາດໂດຍອີງໃສ່ຮູບພາບຂອງລະຫັດ QR ທີ່ພິມຢູ່ໃນກໍລະນີ;
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບ Extended Key ID (IEEE 802.11-2016).
• ການສະຫນັບສະຫນູນກົນໄກຄວາມປອດໄພ SAE-PK (SAE Public Key) ໄດ້ຖືກເພີ່ມເຂົ້າໃນການປະຕິບັດວິທີການເຈລະຈາການເຊື່ອມຕໍ່ SAE. ຮູບແບບສໍາລັບການສົ່ງການຢືນຢັນທັນທີໄດ້ຖືກປະຕິບັດ, ເປີດໃຊ້ໂດຍຕົວເລືອກ “sae_config_immediate=1”, ເຊັ່ນດຽວກັນກັບກົນໄກ hash-to-element, ເປີດໃຊ້ເມື່ອພາລາມິເຕີ sae_pwe ຖືກຕັ້ງເປັນ 1 ຫຼື 2.
• ການປະຕິບັດ EAP-TLS ໄດ້ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບ TLS 1.3 (ປິດການໃຊ້ງານໂດຍຄ່າເລີ່ມຕົ້ນ).
• ເພີ່ມການຕັ້ງຄ່າໃຫມ່ (max_auth_rounds, max_auth_rounds_short) ເພື່ອປ່ຽນຂໍ້ຈໍາກັດຂອງຈໍານວນຂໍ້ຄວາມ EAP ໃນລະຫວ່າງການກວດສອບຄວາມຖືກຕ້ອງ (ການປ່ຽນແປງຂອບເຂດຈໍາກັດອາດຈະຕ້ອງການໃນເວລາທີ່ໃຊ້ໃບຢັ້ງຢືນຂະຫນາດໃຫຍ່ຫຼາຍ).
• ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບກົນໄກການເຈລະຈາຄວາມປອດໄພຂອງ PASN (Pre Association Pre Association) ສໍາລັບການສ້າງຕັ້ງການເຊື່ອມຕໍ່ທີ່ປອດໄພແລະປົກປ້ອງການແລກປ່ຽນກອບການຄວບຄຸມໃນຂັ້ນຕອນການເຊື່ອມຕໍ່ກ່ອນຫນ້າ.
• ກົນໄກການປິດການໃຊ້ງານ Transition ໄດ້ຖືກປະຕິບັດ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດປິດການໃຊ້ງານແບບໂຣມມິງໂດຍອັດຕະໂນມັດ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດປ່ຽນລະຫວ່າງຈຸດເຂົ້າເຖິງໃນຂະນະທີ່ທ່ານຍ້າຍ, ເພື່ອເພີ່ມຄວາມປອດໄພ.
• ການສະຫນັບສະຫນູນສໍາລັບໂປໂຕຄອນ WEP ແມ່ນບໍ່ລວມເອົາການກໍ່ສ້າງເລີ່ມຕົ້ນ (ການກໍ່ສ້າງໃຫມ່ດ້ວຍຕົວເລືອກ CONFIG_WEP=y ແມ່ນຈໍາເປັນເພື່ອສົ່ງຄືນການສະຫນັບສະຫນູນ WEP). ລຶບຟັງຊັນເກົ່າທີ່ກ່ຽວຂ້ອງກັບ Inter-Access Point Protocol (IAPP). ການສະຫນັບສະຫນູນ libnl 1.1 ໄດ້ຖືກຢຸດເຊົາ. ເພີ່ມຕົວເລືອກການກໍ່ສ້າງ CONFIG_NO_TKIP=y ສໍາລັບການກໍ່ສ້າງໂດຍບໍ່ມີການສະຫນັບສະຫນູນ TKIP.
• ແກ້ໄຂຈຸດອ່ອນໃນການປະຕິບັດ UPnP (CVE-2020-12695), ໃນຕົວຈັດການ P2P/Wi-Fi Direct (CVE-2021-27803) ແລະກົນໄກການປົກປ້ອງ PMF (CVE-2019-16275).
• ການປ່ຽນແປງສະເພາະຂອງ Hostapd ລວມມີການຂະຫຍາຍການຮອງຮັບເຄືອຂ່າຍໄຮ້ສາຍ HEW (High-Efficiency Wireless, IEEE 802.11ax), ລວມທັງຄວາມສາມາດໃນການໃຊ້ຊ່ວງຄວາມຖີ່ 6 GHz.
• ການປ່ຽນແປງສະເພາະກັບ wpa_supplicant:
  • ເພີ່ມການສະຫນັບສະຫນູນສໍາລັບການຕັ້ງຄ່າໂຫມດຈຸດເຂົ້າເຖິງສໍາລັບ SAE (WPA3-Personal).
  • ການສະຫນັບສະຫນູນຮູບແບບ P802.11P ແມ່ນປະຕິບັດສໍາລັບຊ່ອງທາງ EDMG (IEEE 2ay).
  • ປັບປຸງການຄາດເດົາການສົ່ງຕໍ່ ແລະການຄັດເລືອກ BSS.
  • ການໂຕ້ຕອບການຄວບຄຸມຜ່ານ D-Bus ໄດ້ຖືກຂະຫຍາຍອອກ.
  • backend ໃຫມ່ໄດ້ຖືກເພີ່ມສໍາລັບການເກັບຮັກສາລະຫັດຜ່ານໃນໄຟລ໌ແຍກຕ່າງຫາກ, ອະນຸຍາດໃຫ້ທ່ານສາມາດເອົາຂໍ້ມູນທີ່ລະອຽດອ່ອນຈາກໄຟລ໌ການຕັ້ງຄ່າຕົ້ນຕໍ.
  • ເພີ່ມນະໂຍບາຍໃຫມ່ສໍາລັບ SCS, MSCS ແລະ DSCP.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru