{"id":103000,"date":"2022-01-18T15:36:39","date_gmt":"2022-01-18T13:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10"},"modified":"2022-01-18T15:36:39","modified_gmt":"2022-01-18T13:36:39","slug":"%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/%d0%b2%d1%8b%d0%bf%d1%83%d1%81%d0%ba-hostapd-%d0%b8-wpa_supplicant-2-10","title":{"rendered":"Utgivning av hostapd och wpa_supplicant 2.10","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Efter mer \u00e4n ett och ett halvt \u00e5rs utveckling har version 2.10 av hostapd\/wpa_supplicant sl\u00e4ppts, ett paket f\u00f6r att s\u00e4kerst\u00e4lla funktionaliteten hos tr\u00e5dl\u00f6sa protokoll IEEE 802.1X, WPA, WPA2, WPA3 och EAP. Det best\u00e5r av programmet wpa_supplicant f\u00f6r att ansluta till ett tr\u00e5dl\u00f6st n\u00e4tverk som klient och bakgrundsprocessen hostapd f\u00f6r att s\u00e4kerst\u00e4lla funktionaliteten hos en \u00e5tkomstpunkt och autentiseringsserver, som inkluderar komponenter som WPA Authenticator, RADIUS autentisering, EAP-server. Projektets k\u00e4llkod distribueras under BSD-licensen. <\/p>\n
F\u00f6rutom funktionella \u00e4ndringar har den nya versionen blockerat en ny attackvektor via sidokanaler som p\u00e5verkar metoden f\u00f6r anslutnings\u00f6verenskommelse SAE (Simultaneous Authentication of Equals) och protokollet EAP-pwd. En angripare med f\u00f6rm\u00e5ga att k\u00f6ra oprivilegierad kod p\u00e5 anv\u00e4ndarens system, som ansluter till ett tr\u00e5dl\u00f6st n\u00e4tverk, kan genom att \u00f6vervaka aktiviteten i systemet erh\u00e5lla upplysningar om egenskaper hos l\u00f6senordet och anv\u00e4nda dessa f\u00f6r att f\u00f6renkla l\u00f6senordsuppskattningen i offline-l\u00e4ge. Problemet orsakas av l\u00e4ckage via sidokanaler av information om egenskaperna hos l\u00f6senordet som g\u00f6r att man kan klarg\u00f6ra korrektheten av val av delar av l\u00f6senordet under processen att gissa. <\/p>\n
Till skillnad fr\u00e5n liknande problem som \u00e5tg\u00e4rdades 2019, orsakas den nya s\u00e5rbarheten av att externa kryptografiska primitiva som anv\u00e4nds i funktionen crypto_ec_point_solve_y_coord() inte garanterade konstant k\u00f6rtid av operationer som inte beror p\u00e5 arten av de behandlade uppgifterna. Genom att analysera beteendet hos processor-cache, kan en angripare som har m\u00f6jlighet att k\u00f6ra oprivilegierad kod p\u00e5 samma processor k\u00e4rna f\u00e5 information om hur operationer med l\u00f6senordet i SAE\/EAP-pwd utf\u00f6rs. Problemet ber\u00f6r alla versioner av wpa_supplicant och hostapd som har byggts med st\u00f6d f\u00f6r SAE (CONFIG_SAE=y) och EAP-pwd (CONFIG_EAP_PWD=y). <\/p>\n
Andra \u00e4ndringar i de nya utg\u00e5vorna av hostapd och wpa_supplicant: <\/p>\n
\n
M\u00f6jlighet att bygga med kryptografiska biblioteket OpenSSL 3.0 har tillagts.\n
Den f\u00f6reslagna mekanismen Beacon Protection, avsedd att skydda mot aktiva attacker p\u00e5 det tr\u00e5dl\u00f6sa n\u00e4tverket genom att manipulera f\u00f6r\u00e4ndringar av Beacon-ramar, har implementerats enligt den uppdaterade specifikationen WPA3.\n
St\u00f6det f\u00f6r DPP 2 (Wi-Fi Device Provisioning Protocol) har lagts till, vilket definierar en autentiseringsmetod baserad p\u00e5 \u00f6ppna nycklar, som anv\u00e4nds i WPA3-standarden f\u00f6r att underl\u00e4tta konfiguration av enheter utan sk\u00e4rminterface. Konfigurationen g\u00f6rs med hj\u00e4lp av en annan, mer avancerad enhet som redan \u00e4r ansluten till det tr\u00e5dl\u00f6sa n\u00e4tverket. Till exempel kan inst\u00e4llningar f\u00f6r en IoT-enhet utan sk\u00e4rm st\u00e4llas in via en smartphone baserat p\u00e5 en QR-kod som skrivits ut p\u00e5 enheten.\n
I implementeringen av metoden f\u00f6r sammankopplings\u00f6verenskommelse SAE har st\u00f6d f\u00f6r skyddsmekanismen SAE-PK (SAE Public Key) lagts till. En omedelbar bekr\u00e4ftelse \u00e4r nu m\u00f6jlig genom alternativet «sae_config_immediate=1», liksom hash-till-element mekanismen, som aktiveras genom att s\u00e4tta parametern sae_pwe till v\u00e4rdena 1 eller 2.\n
St\u00f6det f\u00f6r TLS 1.3 (avst\u00e4ngt som standard) har lagts till i EAP-TLS-implementeringen.\n
Nya inst\u00e4llningar (max_auth_rounds, max_auth_rounds_short) har lagts till f\u00f6r att \u00e4ndra gr\u00e4nserna f\u00f6r antalet EAP-meddelanden under autentisering (gr\u00e4nsjustering kan kr\u00e4vas vid anv\u00e4ndning av mycket stora certifikat).\n
St\u00f6det f\u00f6r mekanismen PASN (Pre Association Security Negotiation) har lagts till f\u00f6r att etablera en s\u00e4ker f\u00f6rbindelse och skydda utbytet av kontrollpaket i ett tidigare skede av anslutningen.\n
Mekanismen Transition Disable har implementerats, som automatiskt inaktiverar roamingl\u00e4get f\u00f6r att \u00f6ka s\u00e4kerheten, vilket till\u00e5ter v\u00e4xling mellan accesspunkter vid r\u00f6relse.\n
St\u00f6det f\u00f6r WEP-protokollet har tagits bort fr\u00e5n standardbyggnaderna (\u00e5terst\u00e4llande av WEP-st\u00f6d kr\u00e4ver ombyggnad med alternativet CONFIG_WEP=y). Utdaterad funktionalitet relaterad till IAPP-protokollet (Inter-Access Point Protocol) har tagits bort. St\u00f6det f\u00f6r libnl 1.1 har upph\u00f6rt. En byggnadsalternativ CONFIG_NO_TKIP=y har lagts till f\u00f6r att bygga utan st\u00f6d f\u00f6r TKIP.\n
S\u00e5rbarheter i implementeringen av UPnP (CVE-2020-12695), i hanteraren P2P\/Wi-Fi Direct (CVE-2021-27803) och mekanismen f\u00f6r PMF-skydd (CVE-2019-16275) har \u00e5tg\u00e4rdats.\n
Fr\u00e5n specifika \u00e4ndringar f\u00f6r hostapd kan n\u00e4mnas att st\u00f6det f\u00f6r HEW-tr\u00e5dl\u00f6sa n\u00e4tverk (High-Efficiency Wireless, IEEE 802.11ax) har utvidgats, inklusive m\u00f6jligheten att anv\u00e4nda 6 GHz frekvensbandet.\n
St\u00f6det f\u00f6r inst\u00e4llningar av accesspunktl\u00e4ge f\u00f6r SAE (WPA3-Personal) har lagts till.\n
St\u00f6det f\u00f6r P2P-l\u00e4ge har implementerats f\u00f6r EDMG-kanaler (IEEE 802.11ay).\n
F\u00f6rb\u00e4ttrad kapacitetsprognos och val av BSS.\n
Ut\u00f6kat hanteringsgr\u00e4nssnitt via D-Bus.\n
Ny backend f\u00f6r att lagra l\u00f6senord i en separat fil har lagts till, vilket m\u00f6jligg\u00f6r att s\u00e4ker information kan flyttas fr\u00e5n huvudkonfigurationsfilen.\n
Nya policys f\u00f6r SCS, MSCS och DSCP har lagts till. <\/ul>\n<\/ul>\n