Utgivning av hostapd och wpa_supplicant 2.10

Efter mer än ett och ett halvt års utveckling har version 2.10 av hostapd/wpa_supplicant släppts, ett paket för att säkerställa funktionaliteten hos trådlösa protokoll IEEE 802.1X, WPA, WPA2, WPA3 och EAP. Det består av programmet wpa_supplicant för att ansluta till ett trådlöst nätverk som klient och bakgrundsprocessen hostapd för att säkerställa funktionaliteten hos en åtkomstpunkt och autentiseringsserver, som inkluderar komponenter som WPA Authenticator, RADIUS autentisering, EAP-server. Projektets källkod distribueras under BSD-licensen.

Förutom funktionella ändringar har den nya versionen blockerat en ny attackvektor via sidokanaler som påverkar metoden för anslutningsöverenskommelse SAE (Simultaneous Authentication of Equals) och protokollet EAP-pwd. En angripare med förmåga att köra oprivilegierad kod på användarens system, som ansluter till ett trådlöst nätverk, kan genom att övervaka aktiviteten i systemet erhålla upplysningar om egenskaper hos lösenordet och använda dessa för att förenkla lösenordsuppskattningen i offline-läge. Problemet orsakas av läckage via sidokanaler av information om egenskaperna hos lösenordet som gör att man kan klargöra korrektheten av val av delar av lösenordet under processen att gissa.

Till skillnad från liknande problem som åtgärdades 2019, orsakas den nya sårbarheten av att externa kryptografiska primitiva som används i funktionen crypto_ec_point_solve_y_coord() inte garanterade konstant körtid av operationer som inte beror på arten av de behandlade uppgifterna. Genom att analysera beteendet hos processor-cache, kan en angripare som har möjlighet att köra oprivilegierad kod på samma processor kärna få information om hur operationer med lösenordet i SAE/EAP-pwd utförs. Problemet berör alla versioner av wpa_supplicant och hostapd som har byggts med stöd för SAE (CONFIG_SAE=y) och EAP-pwd (CONFIG_EAP_PWD=y).

Andra ändringar i de nya utgåvorna av hostapd och wpa_supplicant:

• Möjlighet att bygga med kryptografiska biblioteket OpenSSL 3.0 har tillagts.
• Den föreslagna mekanismen Beacon Protection, avsedd att skydda mot aktiva attacker på det trådlösa nätverket genom att manipulera förändringar av Beacon-ramar, har implementerats enligt den uppdaterade specifikationen WPA3.
• Stödet för DPP 2 (Wi-Fi Device Provisioning Protocol) har lagts till, vilket definierar en autentiseringsmetod baserad på öppna nycklar, som används i WPA3-standarden för att underlätta konfiguration av enheter utan skärminterface. Konfigurationen görs med hjälp av en annan, mer avancerad enhet som redan är ansluten till det trådlösa nätverket. Till exempel kan inställningar för en IoT-enhet utan skärm ställas in via en smartphone baserat på en QR-kod som skrivits ut på enheten.
• Stödet för utökade nyckel-ID:n (Extended Key ID, IEEE 802.11-2016) har lagts till.
• Stödet för mekanismen SAE-PK (SAE Public Key) har lagts till i implementeringen av SAE-kopplingsmetoden. Ett läge för omedelbar bekräftelse har implementerats, aktiverat via alternativet "sae_config_immediate=1", samt en hash-to-element-mekanism som aktiveras genom att ställa in parametern sae_pwe till värdena 1 eller 2.
• Stödet för TLS 1.3 (avstängt som standard) har lagts till i EAP-TLS-implementeringen.
• Nya inställningar (max_auth_rounds, max_auth_rounds_short) har lagts till för att ändra gränserna för antalet EAP-meddelanden under autentisering (gränsjustering kan krävas vid användning av mycket stora certifikat).
• Stödet för mekanismen PASN (Pre Association Security Negotiation) har lagts till för att etablera en säker förbindelse och skydda utbytet av kontrollpaket i ett tidigare skede av anslutningen.
• Mekanismen Transition Disable har implementerats, som automatiskt inaktiverar roamingläget för att öka säkerheten, vilket tillåter växling mellan accesspunkter vid rörelse.
• Stödet för WEP-protokollet har tagits bort från standardbyggnaderna (återställande av WEP-stöd kräver ombyggnad med alternativet CONFIG_WEP=y). Utdaterad funktionalitet relaterad till IAPP-protokollet (Inter-Access Point Protocol) har tagits bort. Stödet för libnl 1.1 har upphört. En byggnadsalternativ CONFIG_NO_TKIP=y har lagts till för att bygga utan stöd för TKIP.
• Sårbarheter i implementeringen av UPnP (CVE-2020-12695), i hanteraren P2P/Wi-Fi Direct (CVE-2021-27803) och mekanismen för PMF-skydd (CVE-2019-16275) har åtgärdats.
• Från specifika ändringar för hostapd kan nämnas att stödet för HEW-trådlösa nätverk (High-Efficiency Wireless, IEEE 802.11ax) har utvidgats, inklusive möjligheten att använda 6 GHz frekvensbandet.
• Ändringar specifika för wpa_supplicant:
  • Stödet för inställningar av accesspunktläge för SAE (WPA3-Personal) har lagts till.
  • Stödet för P2P-läge har implementerats för EDMG-kanaler (IEEE 802.11ay).
  • Förbättrad kapacitetsprognos och val av BSS.
  • Utökat hanteringsgränssnitt via D-Bus.
  • Ny backend för att lagra lösenord i en separat fil har lagts till, vilket möjliggör att säker information kan flyttas från huvudkonfigurationsfilen.
  • Nya policys för SCS, MSCS och DSCP har lagts till.

Källa: opennet.ru