Após dois anos e meio de desenvolvimento, foi lançado o hostapd/wpa_supplicant 2.11, um conjunto destinado à operação dos protocolos sem fio IEEE 802.1X, WPA, WPA2, WPA3 e EAP. O conjunto inclui o aplicativo wpa_supplicant para conectar-se a uma rede sem fio como cliente e um processo em segundo plano hostapd para operar o ponto de acesso e o servidor de autenticação, incluindo componentes como WPA Authenticator, cliente/servidor de autenticação RADIUS e servidor EAP. Os códigos-fonte do projeto são distribuídos sob a licença BSD.
As principais mudanças nas novas versões do hostapd e wpa_supplicant:
- Adicionada a suporte inicial ao Wi-Fi 7 (EHT/IEEE 802.11be) e melhorada a suporte ao Wi-Fi 6 (HE/IEEE 802.11ax).
- Adicionada a suporte à terceira versão do protocolo DPP (Device Provisioning Protocol), conhecido como 'Wi-Fi Easy Connect', e também disponível a transmissão de parâmetros de configuração Wi-Fi usando DPP. O protocolo DPP permite a configuração simplificada de dispositivos sem fio sem interface de tela, utilizando outro dispositivo mais avançado já conectado à rede sem fio. O DPP baseia-se na autenticação por chave pública; por exemplo, parâmetros para um dispositivo IoT sem tela podem ser definidos a partir de um smartphone usando um código QR impresso no dispositivo que codifica a chave pública.
- Adicionada a suporte às mudanças da API propostas na ramificação da biblioteca criptográfica OpenSSL 3.0.
- Na implementação dos protocolos de autenticação EAP-SIM (Extensible Authentication Protocol — Subscriber Identity Module) e EAP-AKA (Extensible Authentication Protocol — Authentication and Key Agreement), foi adicionada a suporte ao mecanismo que garante a privacidade do identificador do assinante da rede móvel, evitando a divulgação do IMSI ao conectar-se ao ponto de acesso.
- Adicionada a suporte aos modos de operação SAE AKM (Simultaneous Authentication of Equals — Authentication and Key Management) com tamanhos de chave variáveis.
- Adicionada a suporte à variante AKM (Authentication and Key Management) baseada em hashes SHA384.
- Na implementação do mecanismo PASN (Pre Association Security Negotiation), usado para estabelecer uma conexão segura e proteger a troca de quadros de controle nas fases iniciais da conexão, foi garantida a suporte à tecnologia 'secure ranging' para determinar com segurança a distância entre dois dispositivos Wi-Fi.
- Adicionada a suporte ao mecanismo USD (Unsynchronized Service Discovery), que simplifica a descoberta de serviços por dispositivos sem fio.
- Adicionada a suporte à proteção explícita do SSID durante o planejamento de quatro etapas para conexão. A proteção é ativada pela opção "ssid_protection=1" e bloqueia a vulnerabilidade CVE-2023-52424, que permite a conexão a uma rede sem fio menos protegida.
- Mudanças específicas para o hostapd:
- Adicionada a suporte para detecção de interferência de sistemas de radar que operam nas mesmas faixas de frequência (ao detectar, ocorre uma mudança para outras frequências). Também adicionada a suporte ao mecanismo CAC (Channel Availability Check), destinado a escutar o canal antes de usar, para verificar se está ocupado pelo sistema de radar.
- Na implementação do método de negociação de conexões SAE (Simultaneous Authentication of Equals), agora é possível solicitar uma senha ao servidor RADIUS.
- Adicionada a suporte para verificações ACL (Access-Control List) e PSK (Pre-Shared Key) usando o protocolo RADIUS durante a negociação da conexão (wpa_psk_radius=3).
- Na implementação do mecanismo ACS (Automatic Channel Selection), ao selecionar o canal utilizado, considera-se a largura de banda e os tipos de canais.
- Ampliada a suporte para uso de múltiplos identificadores BSSID (Basic Service Set Identifier) em um único ponto de acesso para garantir o funcionamento de redes sem fio virtuais.
- Adicionada a suporte inicial para uso de TLS para criptografar as solicitações pelo protocolo RADIUS.
- Alterações específicas do wpa_supplicant:
- Na implementação do padrão MACsec (IEEE 802.1AE), que fornece meios para proteger o canal de transmissão, agora é possível usar o conjunto de cifrados GCM-AES-256 e adicionada a suporte para aceleração de hardware através da delegação de operações para o adaptador de rede.
- Para TLSv1.3, melhorada a suporte para EAP-TLS.
- Reforçada a proteção contra ataques DoS ao usar PMF (Protected Management Frames).
- Melhorado o roaming entre AKM (Authentication and Key Management) ao escolher o SME/BSS (Service Management Entity/Basic Service Set) - driver.
- Possibilitada a uso do mecanismo PASN (Protected Access Secure Negotiation) com programas externos.
- Adicionada a suporte para uso de endereços MAC gerados previamente (mac_addr=3) em vez de gerar um MAC aleatório para cada rede.
- A autenticação de segunda fase (phase2_auth=1) para o protocolo EAP-PEAP está ativada por padrão, o que implica na autenticação do cliente dentro de um túnel seguro.
- O suporte à tecnologia MSCS (Multi-Streaming Channel Switching) foi expandido, permitindo que o dispositivo troque entre vários canais.
- O suporte à tecnologia SCS (Spatial Channel Switching) foi ampliado para priorizar o tráfego importante ao usar QoS.
Fonte: opennet.ru
