Nakon godinu i po dana razvoja, pripremljeno je izdanje hostapd/wpa_supplicant 2.10, skupa za omogućavanje rada bežičnih protokola IEEE 802.1X, WPA, WPA2, WPA3 i EAP, koji se sastoji od aplikacije wpa_supplicant za povezivanje s bežičnom mrežom kao klijent i pozadinskog procesa hostapd za osiguranje rada pristupne tačke i servera za autentifikaciju, uključujući komponente kao što su WPA autentifikator, klijent/server za autentifikaciju RADIUS i EAP server. Izvorni kodovi projekta se distribuiraju pod BSD licencom.
Osim funkcionalnih promena u novoj verziji, blokiran je novi vektor napada putem sporednih kanala, koji zahvata metod pregovaranja veza SAE (Simultaneous Authentication of Equals) i protokol EAP-pwd. Napadač, koji ima mogućnost izvršavanja neprivilegovanog koda na sistemu korisnika koji se povezuje na bežičnu mrežu, može putem praćenja aktivnosti u sistemu dobiti informacije o karakteristikama lozinke i koristiti ih za olakšavanje pogađanja lozinke u offline režimu. Problem je uzrokovan curenjem informacija o karakteristikama lozinke putem sporednih kanala, koje omogućavaju, na osnovu indirektnih podataka, kao što su promene kašnjenja prilikom izvršavanja operacija, da se precizira tačnost izbora delova lozinke tokom njenog pogađanja.
Za razliku od sličnih problema koji su otklonjeni 2019. godine, nova ranjivost je uzrokovana tim što eksterni kriptografski primitivni, korišćeni u funkciji crypto_ec_point_solve_y_coord(), nisu obezbeđivali konstantno vreme izvršavanja operacija, nezavisno od prirode obrađivanih podataka. Na osnovu analize ponašanja procesorske keš memorije, napadač, koji ima mogućnost pokretanja neprivilegovanog koda na istom jezgru procesora, mogao je da dobije informacije o toku izvođenja operacija sa lozinkom u SAE/EAP-pwd. Problem utiče na sve verzije wpa_supplicant i hostapd, kompilirane sa podrškom za SAE (CONFIG_SAE=y) i EAP-pwd (CONFIG_EAP_PWD=y).
Druge promene u novim izdanjima hostapd i wpa_supplicant:
- Dodata je mogućnost kompilacije sa kriptografskom bibliotekom OpenSSL 3.0.
- Implementiran je mehanizam Beacon Protection predložen u ažuriranju specifikacije WPA3, koji je namenjen zaštiti od aktivnih napada na bežičnu mrežu, koji manipulišu promenom Beacon okvira.
- Dodana je podpora za protokol DPP 2 (Wi-Fi naprava za dodeljevanje protokola), ki določa metodo overjanja z javnimi ključi, uporabljeno v standardu WPA3 za poenostavljeno nastavitev naprav brez zaslonskega vmesnika. Nastavitev poteka z uporabo drugega, bolj naprednega naprava, ki je že povezana na brezžično omrežje. Na primer, nastavitve za IoT napravo brez zaslona je mogoče določiti s pametnim telefonom na podlagi QR kode, natisnjene na ohišju;
- Dodana je podpora za razširjene identifikatorje ključev (Extended Key ID, IEEE 802.11-2016).
- V implementacijo metode usklajevanja povezav SAE je dodana podpora za mehanizem zaščite SAE-PK (SAE javni ključ). Uveden je način takojšnjega pošiljanja potrditve, ki ga omogoča možnost "sae_config_immediate=1", ter mehanizem hash-to-element, vključen pri nastavitvi parametra sae_pwe na vrednosti 1 ali 2.
- V implementacijo EAP-TLS je dodana podpora za TLS 1.3 (privzeto je izklopljen).
- Dodane so nove nastavitve (max_auth_rounds, max_auth_rounds_short) za spreminjanje meja glede števila EAP sporočil v postopku overjanja (sprememba meja je lahko potrebna pri uporabi zelo velikih potrdil).
- Dodana je podpora za mehanizem PASN (Pre Association Security Negotiation) za vzpostavitev zaščitene povezave in zaščito izmenjave upravljalskih okvirjev v prejšnji fazi povezovanja.
- Implementiran je mehanizem Transition Disable, ki omogoča avtomatsko onemogočanje način roaminga za okrepitev varnosti, kar dopušča preklapljanje med dostopnimi točkami med gibanjem.
- Iz privzetih zbirk je izključena podpora za protokol WEP (za ponovno vključitev podpore WEP je potrebna ponovna gradnja z možnostjo CONFIG_WEP=y). Odstranjena je zastarela funkcionalnost, povezana s protokolom IAPP (Inter-Access Point Protocol). Prenehana je podpora za libnl 1.1. Dodana je opcijska možnost CONFIG_NO_TKIP=y za gradnjo brez podpore TKIP.
- Odpravljene so ranljivosti v implementaciji UPnP (CVE-2020-12695), v obdelovalniku P2P/Wi-Fi Direct (CVE-2021-27803) in mehanizmu zaščite PMF (CVE-2019-16275).
- Med spremembami specifičnimi za hostapd izstopa širša podpora za brezžična omrežja HEW (Visoko učinkovitost brezžičnega, IEEE 802.11ax), vključno z možnostjo uporabe frekvenčnega območja 6 GHz.
- Spremembe specifične za wpa_supplicant:
- Dodana je podpora za nastavitve načina dostopne točke za SAE (WPA3-Osebno).
- Za kanale EDMG (IEEE 802.11ay) je implementirana podpora za način P2P.
- Izboljšano napovedovanje prepustnosti in izbira BSS.
- Razširjen vmesnik za upravljanje prek D-Bus.
- Dodana je nova zaledna storitev za shranjevanje gesel v ločeni datoteki, kar omogoča prenos zaupnih informacij iz glavne konfiguracijske datoteke.
- Dodane so nove politike za SCS, MSCS in DSCP.
Izvor: opennet.ru
