The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Выпуск hostapd и wpa_supplicant 2.11, реализации стека беспроводных протоколов

23.07.2024 10:49

После двух с половиной лет разработки опубликован выпуск hostapd/wpa_supplicant 2.11, набора для обеспечения работы беспроводных протоколов IEEE 802.1X, WPA, WPA2, WPA3 и EAP. В состав набора входит приложение wpa_supplicant для подключения к беспроводной сети в роли клиента и фоновый процесс hostapd для обеспечения работы точки доступа и сервера аутентификации, включающего такие компоненты как WPA Authenticator, клиент/сервер аутентификации RADIUS, сервер EAP. Исходные тексты проекта распространяются под лицензией BSD.

Основные изменения в новых выпусках hostapd и wpa_supplicant:

  • Добавлена начальная поддержка Wi-Fi 7 (EHT/IEEE 802.11be) и улучшена поддержка Wi-Fi 6 (HE/IEEE 802.11ax).
  • Добавлена поддержка третьей версии протокола DPP (Device Provisioning Protocol), в обиходе известного как "Wi-Fi Easy Connect", а также предоставлена возможность передачи параметров с настройками Wi-Fi при помощи DPP. Протокол DPP предоставляет возможность упрощённой настройки беспроводных устройств без экранного интерфейса, используя другое более продвинутое устройство, уже подключенное к беспроводной сети. DPP основывается на применении аутентификации по открытым ключам, например, параметры для IoT-устройства без экрана можно задать со смартфона на основе снимка QR-кода, напечатанного на корпусе и кодирующего открытый ключ.
  • Добавлена поддержка изменений API, предложенных в ветке криптографической библиотеки OpenSSL 3.0.
  • В реализации протоколов аутентификации EAP-SIM (Extensible Authentication Protocol - Subscriber Identity Module) и EAP-AKA (Extensible Authentication Protocol - Authentication and Key Agreement), появилась поддержка механизма обеспечения конфиденциальности идентификатора абонента мобильной сети, исключающего раскрытие IMSI при подключении к точке доступа.
  • Добавлена поддержка режимов работы SAE AKM (Simultaneous Authentication of Equals - Authentication and Key Management) с переменным размером ключей.
  • Добавлена поддержка варианта AKM (Authentication and Key Management) на базе хэшей SHA384.
  • В реализации механизма PASN (Pre Association Security Negotiation), применяемого для установки защищённого соединения и защиты обмена управляющими кадрами на ранней стадии подключения, обеспечена поддержка технологии "secure ranging" для безопасного определения расстояния между двумя Wi-Fi устройствами.
  • Добавлена поддержка механизма USD (Unsynchronized Service Discovery), упрощающего обнаружение сервисов беспроводными устройствами.
  • Добавлена поддержка явной защиты SSID при четырёхэтапном согласовании подключения. Защита включается при помощи опции "ssid_protection=1" и блокирует уязвимость CVE-2023-52424, позволяющую организовать подключение к менее защищённой беспроводной сети.
  • Изменения, специфичные для hostapd:
    • Добавлена поддержка фонового обнаружения помех от радарных систем, работающих в тех же частотных диапазонах (при обнаружении осуществляется переключение на другие частоты). Также добавлена поддержка механизма CAC (Channel Availability Check), предназначенного для прослушивания канала перед использованием с целью проверки его занятости радарной системой.
    • В реализации метода согласования соединений SAE (Simultaneous Authentication of Equals) появилась возможность запроса пароля у RADIUS-сервера.
    • Добавлена поддержка проверок ACL (Access-Control List) и PSK (Pre-Shared Key) с использованием протокола RADIUS во время согласования соединения (wpa_psk_radius=3).
    • В реализации механизма ACS (Automatic Channel Selection) при выборе используемого канала обеспечен учёт пропускной способности и типов каналов.
    • Расширена поддержка использования на одной точке доступа нескольких идентификаторов BSSID (Basic Service Set Identifier) для обеспечения работы виртуальных беспроводных сетей.
    • Добавлена начальная поддержка использования TLS для шифрования обращений по протоколу RADIUS.
  • Изменения, специфичные для wpa_supplicant:
    • В реализации стандарта MACsec (IEEE 802.1AE), предоставляющего средства для защиты канала передачи данных, предоставлена возможность использования набора шифров GCM-AES-256 и добавлена поддержка аппаратного ускорения через вынос операций на сторону сетевого адаптера.
    • Для TLSv1.3 улучшена поддержка EAP-TLS.
    • Усилена защита от DoS-атак при использовании PMF (Protected Management Frames).
    • Улучшен роуминг между AKM (Authentication and Key Management) при выборе SME/BSS (Service Management Entity/Basic Service Set) -драйвером.
    • Предоставлена возможность использования механизма PASN (Protected Access Secure Negotiation) с внешними программами.
    • Добавлена поддержка использования заранее сгенерированных MAC-адресов (mac_addr=3) вместо генерации случайного MAC для каждой сети.
    • Включено по умолчанию использовании второй фазы аутентификации (phase2_auth=1) для протокола EAP-PEAP, подразумевающей аутентификацию клиента внутри защищённого туннеля.
    • Расширена поддержка технологии MSCS (Multi-Streaming Channel Switching), позволяющей устройству переключаться между несколькими каналами.
    • Расширена поддержка технологии SCS (Spatial Channel Switching) для приоритетной обработки важного трафика при использовании QoS.


  1. Главная ссылка к новости (https://lists.infradead.org/pi...)
  2. OpenNews: Проблемы, приводящие к обходу аутентификации Wi-Fi в IWD и wpa_supplicant
  3. OpenNews: Выпуск Wifibox 0.12, окружения для использования WiFi-драйверов Linux во FreeBSD
  4. OpenNews: Выпуск IWD 2.0, пакета для обеспечения подключения к Wi-Fi в Linux
  5. OpenNews: Выпуск hostapd и wpa_supplicant 2.10
  6. OpenNews: Релиз сетевого конфигуратора NetworkManager 1.48.0
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/61596-wpa_supplicant
Ключевые слова: wpa_supplicant, hostapd, wifi
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (55) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 11:06, 23/07/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • –8 +/
    Интересно, кто-то использует все заложенные "плюшки" функционала?
    Подозреваю, что врядли. Подавляющая логика: "всё в дефолте работает", "нажал_кнопочку_в_смартфоне-заработало".

    Внимание абстрактный вопрос для обсуждения: Усложнение технологий оправдано?

     
     
  • 2.2, Аноним (2), 11:29, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +6 +/
    > Интересно, кто-то использует все заложенные "плюшки" функционала?

    Эти плюшки являются бэекндом для других софтин и библиотек. Естественно, что никто вручную не будет вводить километры цифр и букв в терминал.

     
  • 2.3, Аноним (-), 11:29, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Усложнение технологий оправдано?

    Да, для тех кому это нужно. И так сложилось что они или сами создают эти технологии, или влияют на них финансированием. Поэтому протоколы усложняются.

    А тем кому норм "всё в дефолте работает" - "нажал_кнопочку_в_смартфоне-заработало" просто схавают что есть.

     
  • 2.4, User (??), 11:33, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Ну вот iwd вроде под это запиливали, нет?
     
     
  • 3.7, Аноним (7), 12:00, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Нет
     
  • 2.37, Аноним (37), 02:09, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Hostapd вообще основа для поднятия точки. Я только недавно понял, что из-за неправильной конфигурации у меня работало на 54мегабита максимум.
     

  • 1.5, a7lan (ok), 11:38, 23/07/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    У кого нибудь нормально работает роуминг с wpa_supplicant ? Но ноуте вообще не смог заставить нормально работать в mesh сети. Будет до упора сидеть на слабой точке. Минимальный уровень сигнала видимо зашили в коде, так как игра с конфигом не дает ничего. iwd намного лучше работает и быстро переключает, но iwd не работает с 802.1х
     
     
  • 2.6, Аноним (7), 11:59, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • –4 +/
    Роуминг у вай фая? Такое бывает? Если роуминг у 4г модема например операторского какой-нибудь мегафон. То там разлок через код или ат команду. Но там разлок делается на другого оператора, а не на роуминг.
     
     
  • 3.8, Аноним (8), 12:11, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    он про бесшовное переключение между вайфай точками
     
     
  • 4.11, Аноним (11), 12:41, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >он про бесшовное переключение

    Ну так корректно надо свои мысли изъяснять. Mesh - это название бесшовного Wi-Fi у конкретной компании, которая называется Keenetic.

     
     
  • 5.12, a7lan (ok), 12:45, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Что за бред?
    https://en.wikipedia.org/wiki/Mesh_networking
     
     
  • 6.13, Аноним (11), 12:51, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • –7 +/
    В русском языке нет такого слова, как Mesh networking. Есть слово "Ячеистая топология".
     
     
  • 7.14, a7lan (ok), 12:54, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Продолжайте наблюдение. В магазинах электроники не забудьте подойти и попросить точки доступа для ячеистой топологии. Производителям на их сайте тоже не забудьте на это обратить внимание.
     
     
  • 8.27, Аноним (27), 16:09, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Отправят в Пятёрочку ... текст свёрнут, показать
     
  • 8.32, Аноним (-), 18:45, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Производителям на их сайте нужно уволить переводчиков Это же так очевидно ... текст свёрнут, показать
     
  • 3.9, a7lan (ok), 12:13, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    802.11k, 802.11v и 802.11r
     
     
  • 4.17, нах. (?), 14:59, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    А оно разьве где-то вообще работает кроме цисок с их собственным драйвером под понятно не линуксы?

     
     
  • 5.22, unknown (??), 15:35, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Роуминг работает также на точках Микротик и андройд смартах самсунг
     
  • 5.23, a7lan (ok), 15:44, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Работает на всем современном.
     
  • 5.38, а што не так (?), 04:24, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    В openwrt есть.
     
  • 5.39, Аноним (-), 08:29, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > А оно разьве где-то вообще работает кроме цисок с их собственным драйвером
    > под понятно не линуксы?

    Знакомьтесь, это пох. На него время обидеолось, у него всегда полшестого, 2010 года, и пора пить чай. Поэтому роуминга нигде кроме цисок якобы нет. А реально это умеет любая дешевая мыльница уже.

     
     
  • 6.41, нах. (?), 09:09, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> А оно разьве где-то вообще работает кроме цисок с их собственным драйвером
    >> под понятно не линуксы?
    > Знакомьтесь, это пох. На него время обидеолось, у него всегда полшестого, 2010
    > года, и пора пить чай. Поэтому роуминга нигде кроме цисок якобы
    > нет. А реально это умеет любая дешевая мыльница уже.

    я спрашивал не про "есть" (оно и в 2010м вот такое "есть"), а про "работает".

    Пока что тут двое у которых не или так что лучше бы не, остальные теоретики и еще один с телефоном сасунг. Т.е. вероятно ничего не изменилось с тех пор как я перестал интересоваться сетями.

     
     
  • 7.55, Аноним (-), 18:35, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    В цифровых технологиях работает по мере роста сложности, увы, стало идти с ква... большой текст свёрнут, показать
     
     
  • 8.58, нах. (?), 18:51, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    У меня вообще никак не работает, потому что я сейчас это не настраиваю А когда... текст свёрнут, показать
     
     
  • 9.61, shadowofunknown (?), 18:00, 25/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    TO_ALL Роаминг с использованием 802 11 k r вообще происходит по ЖЕЛАНИЮ клиент... текст свёрнут, показать
     
     
  • 10.62, нах. (?), 00:47, 26/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    а точка на чем ну вот нельзя dpkg-query -l wpa_supplicant показать вряд ли та... текст свёрнут, показать
     
     
  • 11.63, shadowofunknown (?), 02:46, 26/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    в Kali Linux я загрузился в Live CD и в графике сконфигурировал Wifi сеть - прос... текст свёрнут, показать
     
     
  • 12.65, нах. (?), 10:52, 26/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    ну не ставить же всем калолинукс только ради посмотреть что там под этой графико... текст свёрнут, показать
     
  • 11.64, shadowofunknown (?), 02:48, 26/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    точки доступа железные Mikrotik hap ac2... текст свёрнут, показать
     
  • 4.57, Qq (?), 18:41, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Формально это все ещё не бесшовное переключение. Сюда можно дописать band steering.
    Это все «минимизирует время разрыва», и довольно неплохо. Но, бесшовного wifi не будет до тех пор пока новая итерация wifi не принесет функционал передачи клиента между точками доступа, так чтобы об этой передаче клиент тоже был в курсе, и смог переключится
     
     
  • 5.59, svpcom (ok), 14:25, 25/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    https://openwrt.org/docs/guide-user/network/wifi/dawn

    вполне работает

     
  • 2.21, Аноним (21), 15:27, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > iwd не работает с 802.1х

    нормально оно работает

     
     
  • 3.25, a7lan (ok), 15:44, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Забыл добавить, что через gui. NM
     
  • 2.33, Анониссимус (?), 22:00, 23/07/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Я настроил роуминг на openwrt. Тестировал, роуминг работал, то есть на точках в локах были сообщения о быстрой аутентификации. При этом на ноуте наблюдал задержку в 1-2 секунды, т. е. роуминг фактически не работал.

    Трудно разобраться, потому что проблема может быть на разных девайсах. Если бы был девайс, на котором роуминг гарантировано работает, можно было бы разбираться.

     
     
  • 3.45, нах. (?), 11:13, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Я настроил роуминг на openwrt.

    К чорту подробности - железо-то какое было? (ну и версия hostapd в неведомом железе с опенворотиной)

    > При этом на ноуте наблюдал задержку в 1-2 секунды, т. е. роуминг фактически не работал.

    Спасибо, я примерно так себе конечно это и представляю.

     
  • 3.51, svpcom (ok), 14:10, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    А аутентификация была WPA или EAP? Были ли динамическте вланы? У меня не получилось fast reauth с ними сделать (там в исходниках hostapd было кривое место и оно не пересылало между точками сообщение в этом случае). Если без dynamic vlans (просто eap), то все работает
     
  • 3.52, svpcom (ok), 14:15, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    https://openwrt.org/docs/guide-user/network/wifi/dawn
     
  • 3.53, unknown (??), 17:32, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Вопрос: данные точки в одном FT домене как между собой соединялись?
    -Возможноли взять 2  точки,  соединить их в диапазоне 2.4ггц, и на этих же физических интерфейсах поднять Virtualные Access Pointы и между ними наладить роуминг?

    В таком сценарии у микротиков и кинетиков косяк - они должны соединяттся либо по проводам, либо через другие интерфейсы(5ггц)

     
  • 2.50, svpcom (ok), 14:07, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Нормально работает с openwrt и точками доступа на ath10k.
    Но документации по этому очень мало и есть проблемы с EAP + dynamic vlans. С ними у меня не получилось завести. Без них работает.
     

  • 1.18, Аноним (27), 15:03, 23/07/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вот у меня B&G PCI-карта D-Link (Ralink). После очередного обновления перестала создаваться точка доступа (скорости, кстати, были вполне n-овские, хоть и B&G). В логе пишет, что типа не может переопределить один из WEP-ключей (хотя WEP отключён и настроено всё на WPA2, WPA3 не поддерживается, так как нет MFP, ни аппаратного, но программного почему-то). Открытая точка по-прежнему создаётся и работает, но я таким говном пользоваться не буду.
     
     
  • 2.36, Аноним (36), 00:39, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Там модуль ядра надо заменить. У меня на древнем ноуте то же самое было.
     
     
  • 3.48, Аноним (48), 13:04, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    В смысле? Ещё в июне она работала.
     

  • 1.20, Аноним (20), 15:09, 23/07/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    >Исходные тексты проекта распространяются под лицензией BSD.

    Под свободной лицензией.

     
     
  • 2.60, Аноним (-), 16:09, 25/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Это безвольная лицензия. Свобода должна быть копилефтной.
     

  • 1.31, Аноним (31), 18:38, 23/07/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    WPA3 все так же дыряв?
     
     
  • 2.54, anonimos (-), 18:01, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    да. излишняя переусложненость только больше проблемм создает. например легко глушится или удаленно принудительно можно менять каналы с разрывом соединения что открывает массу других векторов атак. при этом на роутере последняя прошивка и включена опция контроля пакетов но увы не спасает. это то что я лично протестировал. с wpa2 такой трюк сложнее провести либо никак особенно если выставлен фиксированный канал. наиболее опасные для wpa2 это krack attack и деассоциация соеденения которые частично решаются максимальным паролем и впн при использовании wifi.
     

  • 1.34, Анониссимус (?), 22:01, 23/07/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Диву даёшься, насколько сложен этот вайфай. Моё почтение тем людям, которые смогли это довести до уровня "ввёл ключ, ткнул кнопку, интернет появился".
     
     
  • 2.35, Аноним (36), 00:38, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > насколько сложен этот вайфай

    Там и четверти от той сложности не используется. Наличие каких-то настроек не означает, что всех их нужно непременно использовать.

     
     
  • 3.42, Анониссимус (?), 09:44, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • –1 +/
    >> насколько сложен этот вайфай
    > Там и четверти от той сложности не используется. Наличие каких-то настроек не
    > означает, что всех их нужно непременно использовать.

    Все эти настроечки -- это вершина айсберга. А в фундаменте там тонна сложнейших протоколов и алгоритмов.

     
     
  • 4.46, Аноним (46), 12:37, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ты же понимаешь что это писано не одним человеком и не за 1 день?
     
  • 2.40, Аноним (-), 08:31, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Диву даёшься, насколько сложен этот вайфай. Моё почтение тем людям, которые смогли
    > это довести до уровня "ввёл ключ, ткнул кнопку, интернет появился".

    К сожалению это не совсем нахаляву было. Ибо так в принципе и атакующий - может. Так что спасибо за бесплатный интернет :-)

     
     
  • 3.43, Анониссимус (?), 09:57, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >> Диву даёшься, насколько сложен этот вайфай. Моё почтение тем людям, которые смогли
    >> это довести до уровня "ввёл ключ, ткнул кнопку, интернет появился".
    > К сожалению это не совсем нахаляву было.

    Не совсем так. А точнее -- совсем не так. Уязвимости находят везде: и в простых системах, и в сложных. И, зачастую, именно сложностью системы приходится расплачиваться за её защищённость.

    Например: однопользовательская ось сложнее многопользовательской. Какая из них более защищённая? Вот это оно и есть -- расплата сложностью за защищённость.

     
     
  • 4.56, Аноним (-), 18:36, 24/07/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Например: однопользовательская ось сложнее многопользовательской. Какая из них более
    > защищённая? Вот это оно и есть -- расплата сложностью за защищённость.

    Ээээ вот тут это совсем неудачный пример. В однопользовательской ОС всем можно все - и поэтому ее защищенность равна нулю. Да, если у вас нет системы защиты - то и багов в ней не будет! Но...


     

  • 1.44, Вот така малята (?), 10:57, 24/07/2024 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • –1 +/
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру