Uitgave van hostapd en wpa_supplicant 2.11, implementaties van de draadloze protocolstack

Na tweeënhalf jaar ontwikkeling is de release van hostapd/wpa_supplicant 2.11 gepubliceerd, een set voor het ondersteunen van draadloze protocollen zoals IEEE 802.1X, WPA, WPA2, WPA3 en EAP. De set bevat de applicatie wpa_supplicant voor verbinding met een draadloos netwerk als klant en een achtergrondproces hostapd voor het beheren van een toegangspunt en authenticatieserver, inclusief componenten zoals WPA Authenticator, RADIUS client/server authenticatie en EAP server. De broncode van het project wordt verspreid onder de BSD-licentie.

Belangrijkste wijzigingen in de nieuwe releases van hostapd en wpa_supplicant:

• Initiële ondersteuning voor Wi-Fi 7 (EHT/IEEE 802.11be) is toegevoegd, evenals verbeterde ondersteuning voor Wi-Fi 6 (HE/IEEE 802.11ax).
• Ondersteuning voor de derde versie van het DPP (Device Provisioning Protocol), bekend als 'Wi-Fi Easy Connect', is toegevoegd, evenals de mogelijkheid om Wi-Fi-instellingen via DPP door te geven. Het DPP protocol maakt eenvoudige configuratie van draadloze apparaten zonder scherminterface mogelijk, met behulp van een ander, geavanceerder apparaat dat al met het draadloze netwerk is verbonden. DPP is gebaseerd op open sleutel authenticatie; bijvoorbeeld, parameters voor een IoT-apparaat zonder scherm kunnen worden ingesteld met een smartphone via een QR-code die op de behuizing is gedrukt en de openbare sleutel encodert.
• Ondersteuning voor API-wijzigingen voorgesteld in de cryptografische bibliotheek OpenSSL 3.0 is toegevoegd.
• Bij de implementatie van de EAP-SIM (Extensible Authentication Protocol — Subscriber Identity Module) en EAP-AKA (Extensible Authentication Protocol — Authentication and Key Agreement) authenticatieprotocollen is ondersteuning toegevoegd voor een mechanisme dat de privacy van de mobiele netwerk-identificatie waarborgt, waardoor IMSI niet wordt onthuld bij het verbinden met een toegangspunt.
• Ondersteuning voor SAE AKM (Simultaneous Authentication of Equals — Authentication and Key Management) modus met variabele sleutelgroottes is toegevoegd.
• Ondersteuning voor een AKM (Authentication and Key Management) variant op basis van SHA384-hashes is toegevoegd.
• Bij de implementatie van het PASN (Pre Association Security Negotiation) mechanisme, dat wordt gebruikt voor het opzetten van een beveiligde verbinding en het beschermen van beheerkaders in de vroege verbindingsfase, is ondersteuning voor 'secure ranging' toegevoegd voor veilige afstandsbepaling tussen twee Wi-Fi-apparaten.
• Ondersteuning voor het USD-mechanisme (Unsynchronized Service Discovery) is toegevoegd, wat het ontdekken van services door draadloze apparaten vereenvoudigt.
• Ondersteuning voor expliciete bescherming van SSID is toegevoegd met een vierstaps verbindingsovereenkomst. Bescherming wordt ingeschakeld met de optie 'ssid_protection=1' en blokkeert de kwetsbaarheid CVE-2023-52424, die een verbinding met een minder beveiligd draadloos netwerk mogelijk maakt.
• Wijzigingen specifiek voor hostapd:
  • Er is ondersteuning toegevoegd voor achtergronddetectie van interferentie door radarsystemen die in dezelfde frequentiebanden werken (bij detectie wordt er overgeschakeld naar andere frequenties). Ook is ondersteuning toegevoegd voor het CAC-mechanisme (Channel Availability Check), dat bedoeld is om het kanaal te beluisteren voordat het wordt gebruikt om te controleren of het bezet is door een radarsysteem.
  • In de implementatie van de SAE (Simultaneous Authentication of Equals) verbindingsovereenkomst is het nu mogelijk om een wachtwoord aan te vragen bij de RADIUS-server.
  • Er is ondersteuning toegevoegd voor ACL (Access-Control List) en PSK (Pre-Shared Key) controles met behulp van het RADIUS-protocol tijdens de verbindingsovereenkomst (wpa_psk_radius=3).
  • In de implementatie van het ACS-mechanisme (Automatic Channel Selection) is bij het kiezen van het gebruikte kanaal rekening gehouden met de bandbreedte en typen kanalen.
  • De ondersteuning voor het gebruik van meerdere BSSID (Basic Service Set Identifier) op toegangspunten is uitgebreid om de werking van virtuele draadloze netwerken te waarborgen.
  • Initiële ondersteuning voor het gebruik van TLS voor het versleutelen van aanvragen via het RADIUS-protocol is toegevoegd.
• Wijzigingen specifiek voor wpa_supplicant:
  • In de implementatie van de MACsec-standaard (IEEE 802.1AE), die middelen biedt voor de beveiliging van datatransmissiekanalen, is de mogelijkheid toegevoegd om gebruik te maken van de cipher suite GCM-AES-256 en is ondersteuning toegevoegd voor hardwareversnelling door operaties naar de netwerkadapter te verplaatsen.
  • De ondersteuning voor EAP-TLS is verbeterd voor TLSv1.3.
  • De bescherming tegen DoS-aanvallen bij het gebruik van PMF (Protected Management Frames) is versterkt.
  • De roaming tussen AKM (Authentication and Key Management) bij de keuze van SME/BSS (Service Management Entity/Basic Service Set) is verbeterd door de driver.
  • De mogelijkheid is geboden om het PASN (Protected Access Secure Negotiation) mechanisme met externe programma's te gebruiken.
  • Ondersteuning is toegevoegd voor het gebruik van vooraf gegenereerde MAC-adressen (mac_addr=3) in plaats van het genereren van een willekeurige MAC voor elk netwerk.
  • Bij de standaardinstellingen is de tweede fase van verificatie (phase2_auth=1) geactiveerd voor het EAP-PEAP protocol, wat inauthenticatie van de cliënt binnen een beveiligde tunnel betekent.
  • De ondersteuning voor de technologie MSCS (Multi-Streaming Channel Switching) is uitgebreid, waardoor het apparaat tussen meerdere kanalen kan schakelen.
  • De ondersteuning voor de technologie SCS (Spatial Channel Switching) is uitgebreid voor prioritaire verwerking van belangrijk verkeer bij gebruik van QoS.

Bron: opennet.ru