Utgivningen av hostapd och wpa_supplicant 2.11, implementeringen av det trådlösa protokollstacken

Efter två och ett halvt års utveckling har version 2.11 av hostapd/wpa_supplicant publicerats, ett paket som säkerställer funktionalitet för trådlösa protokoll IEEE 802.1X, WPA, WPA2, WPA3 och EAP. Paketet inkluderar applikationen wpa_supplicant för att ansluta till ett trådlöst nätverk som klient och en bakgrundsprocess hostapd för att tillhandahålla en åtkomstpunkt samt en autentiseringstjänst som omfattar komponenter som WPA Authenticator, RADIUS klient/server autentisering och EAP-server. Källkoderna för projektet distribueras under BSD-licensen.

Huvudförändringar i de nya versionerna av hostapd och wpa_supplicant:

• Stöd för Wi-Fi 7 (EHT/IEEE 802.11be) har lagts till och stödet för Wi-Fi 6 (HE/IEEE 802.11ax) har förbättrats.
• Stöd för den tredje versionen av DPP-protokollet (Device Provisioning Protocol), allmänt känt som "Wi-Fi Easy Connect", har lagts till, liksom möjligheten att överföra inställningar för Wi-Fi via DPP. DPP-protokollet möjliggör enkel konfiguration av trådlösa enheter utan skärmanvändargränssnitt, genom användning av en annan mer avancerad enhet som redan är ansluten till det trådlösa nätverket. DPP bygger på användning av autentisering med offentliga nycklar, exempelvis kan inställningar för en IoT-enhet utan skärm ställas in från en smartphone baserat på en QR-kod som skrivits ut på enheten och som kodar den offentliga nyckeln.
• Stöd för API-ändringar som föreslagits i OpenSSL 3.0 kryptografibibliotekets gren har lagts till.
• I implementeringen av EAP-SIM (Extensible Authentication Protocol — Subscriber Identity Module) och EAP-AKA (Extensible Authentication Protocol — Authentication and Key Agreement) har stöd för en mekanism för att säkerställa sekretess för mobilnätets abonnentidentifierare lagts till, vilket utesluter avslöjande av IMSI vid anslutning till en åtkomstpunkt.
• Stöd för driftsättningar av SAE AKM (Simultaneous Authentication of Equals — Authentication and Key Management) med variabel nyckelstorlek har lagts till.
• Stöd för AKM (Authentication and Key Management) baserat på SHA384-hashar har lagts till.
• I implementeringen av PASN (Pre Association Security Negotiation) mekanismen, som används för att etablera en säker anslutning och skydda utbytet av kontrollramar i ett tidigt skede av anslutningen, har stöd för "secure ranging" för säker distansmätning mellan två Wi-Fi enheter lagts till.
• Stöd för USD-mekanismen (Unsynchronized Service Discovery) har lagts till, vilket förenklar upptäckten av tjänster av trådlösa enheter.
• Stöd för explicit SSID-skydd vid fyrastegsanslutningsöverenskommelse har lagts till. Skyddet aktiveras med alternativet "ssid_protection=1" och blockerar sårbarheten CVE-2023-52424, som möjliggör anslutning till ett mindre skyddat trådlöst nätverk.
• Ändringar specifika för hostapd:
  • Stöd för bakgrundsuppackning av störningar från radarsystem som arbetar i samma frekvensområden har lagts till (vid upptäckten sker växling till andra frekvenser). Stöd för mekanismen CAC (Channel Availability Check) har också lagts till, avsedd för att lyssna på kanalen innan användning för att kontrollera dess upptagenhet av radarsystemet.
  • I implementeringen av SAE (Simultaneous Authentication of Equals) har möjlighet att begära lösenord från RADIUS-servern lagts till.
  • Stöd för kontroller av ACL (Access-Control List) och PSK (Pre-Shared Key) med hjälp av RADIUS-protokollet under anslutningsöverenskommelsen (wpa_psk_radius=3) har lagts till.
  • I implementeringen av ACS (Automatic Channel Selection) beaktas både bandbredd och typer av kanaler vid val av använd kanal.
  • Stödet för att använda flera BSSID (Basic Service Set Identifier) på en enda åtkomstpunkt för att säkerställa drift av virtuella trådlösa nätverk har utvidgats.
  • Inledande stöd för att använda TLS för att kryptera anrop över RADIUS-protokollet har lagts till.
• Ändringar specifika för wpa_supplicant:
  • I implementeringen av MACsec (IEEE 802.1AE), som tillhandahåller medel för att skydda datakanalen, har möjligheten att använda chifferuppsättningen GCM-AES-256 givits, och stöd för maskinvaruacceleration genom att flytta operationer till nätverksadaptern har lagts till.
  • För TLSv1.3 har stödet för EAP-TLS förbättrats.
  • Skyddet mot DoS-attacker vid användning av PMF (Protected Management Frames) har stärkts.
  • Roaming mellan AKM (Authentication and Key Management) förbättrades vid val av SME/BSS (Service Management Entity/Basic Service Set) -drivrutinen.
  • Möjlighet till att använda mekanismen PASN (Protected Access Secure Negotiation) med externa program har tillhandahållits.
  • Stöd för att använda förgenererade MAC-adresser (mac_addr=3) istället för att generera en slumpmässig MAC för varje nätverk har lagts till.
  • Andra fasen av autentisering (phase2_auth=1) är som standard aktiverad för EAP-PEAP-protokollet, vilket innebär klientautentisering inom en säker tunnel.
  • Utökat stöd för MSCS (Multi-Streaming Channel Switching) teknik, vilket möjliggör att enheten kan växla mellan flera kanaler.
  • Utökat stöd för SCS (Spatial Channel Switching) teknik för prioriterad hantering av viktig trafik vid användning av QoS.

Källa: opennet.ru