Why do clients respond to any deauth request they hear instead of verifying the origin?
Non rispondono a nessun deauth / disassoc frame che sentono, rispondono solo a tali frame che sono indirizzati a loro e provenienti dal loro indirizzo MAC AP. E sì, questo per la natura del wireless 802.11 includerebbe i frame con indirizzi di origine falsificati.
Also, will this be addressed in the upcoming WPA3 standard?
No. Innanzitutto, WPA3 non è uno standard, è una specifica per ottenere una o più certificazioni particolari da Wi-Fi Alliance per un dispositivo. L'IEEE definisce gli standard wireless 802.11 e non ci sono gruppi di lavoro che lavorano su eventuali modifiche che modificano l'essenziale di 802.11i (su cui si basa la certificazione WPA2 della WFA). Consulta la mia risposta qui per ulteriori informazioni su cosa sia il WPA3, se lo desideri.
In secondo luogo, non c'è bisogno di farlo. Questo è stato affrontato in un emendamento dell'IEEE che è stato ratificato nel 2009, ovvero 802.11w. Il problema è che l'implementazione del supporto per questo emendamento è stata lenta da alcuni fornitori al di fuori dell'ambiente aziendale. Controlla la mia risposta qui per ulteriori informazioni.
It seems to me this would be a basic thing that should have been implemented as part of WPA2 to prevent easily giving away of the handshake and to prevent someone from doxing the connection.
PSK come definito da 802.11i (WPA2) era pensato per uso personale e di base. Era inteso per semplicità e facilità d'uso. Se un'entità desiderava una maggiore sicurezza, 802.11i definiva l'uso di 802.1X e RADIUS per fornire tale.