🥇Lansarea hostapd și wpa_supplicant 2.10

După un an și jumătate de dezvoltare, a fost lansată versiunea 2.10 a hostapd/wpa_supplicant, un set pentru implementarea protocoalelor wireless IEEE 802.1X, WPA, WPA2, WPA3 și EAP, constând din aplicația wpa_supplicant pentru conectarea la rețele wireless ca client și procesul de fundal hostapd pentru oferirea de puncte de acces și servere de autentificare, incluzând componente precum WPA Authenticator, client/server RADIUS și server EAP. Codurile sursă ale proiectului sunt distribuite sub licența BSD.

În afară de modificările funcționale, noua versiune blochează un nou vector de atac pe canale laterale, afectând metoda de negociere a conexiunilor SAE (Autentificarea Simultană a Egalilor) și protocolul EAP-pwd. Un atacator, care are posibilitatea de a executa cod neprivilegiat pe sistemul utilizatorului care se conectează la rețeaua wireless, poate obține informații despre caracteristicile parolei prin monitorizarea activității din sistem și le poate folosi pentru a simplifica descoperirea parolei în mod offline. Problema este cauzată de scurgerea pe canale laterale a informațiilor despre caracteristicile parolei, care permit, pe baza unor date indirecte, cum ar fi modificarea întârzierilor în execuția operațiunilor, să clarifice corectitudinea alegerii părților parolei în procesul de descoperire.

Spre deosebire de problemele similare, rezolvate în 2019, noua vulnerabilitate este cauzată de faptul că primitivele criptografice externe folosite în funcția crypto_ec_point_solve_y_coord() nu asigurau un timp de execuție constant, independent de natura datelor procesate. Pe baza analizei comportamentului cache-ului procesorului, un atacator, care are capacitatea de a rula cod neprivilegiat pe același nucleu de procesor, putea obține informații despre desfășurarea operațiunilor cu parola în SAE/EAP-pwd. Problema afectează toate versiunile wpa_supplicant și hostapd compilate cu suport pentru SAE (CONFIG_SAE=y) și EAP-pwd (CONFIG_EAP_PWD=y).

Alte modificări în noile versiuni ale hostapd și wpa_supplicant:

S-a adăugat posibilitatea de compilare cu biblioteca criptografică OpenSSL 3.0.
A fost implementat mecanismul Beacon Protection propus în actualizarea specificației WPA3, destinat să protejeze împotriva atacurilor active asupra rețelei wireless care manipulează modificarea cadrelor Beacon.
A fost adăugat suportul pentru protocolul DPP 2 (Wi-Fi Device Provisioning Protocol), care definește metoda de autentificare pe baza cheilor publice, utilizat în standardul WPA3 pentru a organiza configurarea simplificată a dispozitivelor fără interfață pe ecran. Configurarea se realizează folosind un alt dispozitiv mai avansat, deja conectat la rețeaua wireless. De exemplu, parametrii pentru un dispozitiv IoT fără ecran pot fi setați de pe un smartphone pe baza unei fotografii QR imprimată pe carcasa acestuia;
A fost adăugat suportul pentru identificatorii extinși ai cheilor (Extended Key ID, IEEE 802.11-2016).
În implementarea metodei de negociere a conexiunilor SAE a fost adăugat suportul pentru mecanismul de protecție SAE-PK (SAE Public Key). A fost implementat modul de trimitere imediată a confirmării, activat prin opțiunea „sae_config_immediate=1”, precum și mecanismul hash-to-element, activat prin setarea parametrului sae_pwe la valorile 1 sau 2.
În implementarea EAP-TLS a fost adăugat suportul pentru TLS 1.3 (dezactivat implicit).
Au fost adăugate noi setări (max_auth_rounds, max_auth_rounds_short) pentru modificarea limitelor numărului de mesaje EAP în procesul de autentificare (modificarea limitelor poate fi necesară în cazul utilizării certificatelor foarte mari).
A fost adăugat suportul pentru mecanismul PASN (Pre Association Security Negotiation) pentru stabilirea unei conexiuni securizate și protejarea schimbului de cadre de control în etapa anterioară a conectării.
A fost implementat mecanismul Transition Disable, care permite, pentru a întări securitatea, dezactivarea automată a modului de roaming, permițând transferul între punctele de acces pe măsură ce utilizatorul se mișcă.
Suportul pentru protocolul WEP a fost exclus din construirea implicită (pentru a reveni la suportul WEP, este necesară recompilarea cu opțiunea CONFIG_WEP=y). Funcționalitatea învechită legată de protocolul IAPP (Inter-Access Point Protocol) a fost eliminată. Suportul pentru libnl 1.1 a fost suspendat. A fost adăugată opțiunea de construire CONFIG_NO_TKIP=y pentru o construcție fără suport pentru TKIP.
S-au eliminat vulnerabilitățile din implementarea UPnP (CVE-2020-12695), din handlerul P2P/Wi-Fi Direct (CVE-2021-27803) și din mecanismul de protecție PMF (CVE-2019-16275).
Printre modificările specifice pentru hostapd se remarcă extinderea suportului pentru rețelele wireless HEW (High-Efficiency Wireless, IEEE 802.11ax), inclusiv posibilitatea utilizării benzii de frecvență de 6 GHz.
Modificări specifice pentru wpa_supplicant:
- A fost adăugat suportul pentru setările modului de acces point pentru SAE (WPA3-Personal).
- Pentru canalele EDMG (IEEE 802.11ay) a fost implementat suportul pentru modul P2P.
- Îmbunătățită prognoza lățimii de bandă și selecția BSS.
- Extins interfața de management prin D-Bus.
- Adăugat un nou backend pentru stocarea parolelor într-un fișier separat, permițând mutarea informațiilor confidențiale din fișierul principal de configurație.
- Adăugate politici noi pentru SCS, MSCS și DSCP.

Sursa: opennet.ro