¿Qué es Passpoint? Explicación de la conexión WiFi automática y segura
Published
Passpoint es una certificación de la WiFi Alliance basada en Hotspot 2.0 que permite a un dispositivo conectarse automáticamente a una red participante cuando dispone de credenciales válidas, en lugar de tener que seleccionar un SSID e introducir una contraseña.
Si un teléfono puede pasar de una torre móvil a otra sin pedirle que inicie sesión cada vez, ¿por qué la WiFi sigue pidiendo a los visitantes recurrentes que busquen el nombre de una red, esperen a que cargue una página web y vuelvan a identificarse? Esa diferencia suele tratarse como algo normal, pero no es una limitación técnica. Es lo que ocurre cuando el acceso se diseña en torno a una contraseña compartida o a una página portal, en lugar de utilizar la identidad que el dispositivo ya posee.
Índice de contenidos
- Qué es Passpoint y por qué es más seguro que los puntos de acceso abiertos
- Cómo se conecta Passpoint sin solicitar contraseña
- Cómo obtienen los dispositivos un perfil de Passpoint
- Comparativa de Passpoint, portales cautivos y OpenRoaming
- Dónde se implementa Passpoint y qué no hace
- Decida si Passpoint se adapta a su red
Qué es Passpoint y por qué es más seguro que las zonas WiFi abiertas
Passpoint, también denominado Hotspot 2.0, es el programa de certificación de Wi-Fi Alliance que permite a un dispositivo buscar, verificar y conectarse automáticamente a una red participante cuando dispone de credenciales válidas. Según la descripción general de la tecnología de la Wi-Fi Alliance Passpoint, utiliza IEEE 802.11u para la detección previa a la asociación, IEEE 802.1X para la autenticación y WPA2-Enterprise o WPA3-Enterprise para el acceso cifrado.
Passpoint es una certificación de WiFi Alliance basada en Hotspot 2.0. Utiliza 802.11u para detectar redes antes de conectarse, 802.1X para verificar la identidad y WPA2-Enterprise o WPA3-Enterprise para cifrar el enlace.
Imagínelo como un carné de socio aceptado en establecimientos asociados. Se registra una vez, guarda el carné en su cartera y el personal de cada ubicación lo comprueba en lugar de pedirle que firme en el libro de visitas. Una zona WiFi abierta funciona al revés: usted busca la puerta correcta, vuelve a escribir una contraseña que todo el mundo comparte y repite el proceso en su siguiente visita.
De dónde procede el estándar
La Wi-Fi Alliance introdujo la Versión 1 en 2012, orientada inicialmente al acceso seguro a zonas WiFi y a la itinerancia entre proveedores. Posteriormente, lanzó la Versión 2 en 2014, que incluía el registro en línea y la compatibilidad con el alta de dispositivos sin tarjeta SIM. Ese historial es relevante porque Passpoint no se diseñó para ser una página de inicio de sesión más atractiva. Se diseñó para orientar la red WiFi pública hacia una itinerancia basada en credenciales.
Por qué el modelo de seguridad es más sólido
Una red abierta con portal cautivo generalmente carece de credenciales por dispositivo en la capa de WiFi. El portal puede recopilar una dirección de correo electrónico o un vale tras la asociación, pero eso no demuestra la identidad de cada dispositivo de la misma manera ni cifra por sí solo el enlace inalámbrico. La solución certificada Passpoint utiliza 802.1X y EAP en lugar de una clave compartida, de modo que la red verifica una credencial vinculada a un dispositivo, usuario, SIM o proveedor.
La guía de seguridad de la WiFi Alliance Passpoint establece que Passpoint requiere Tramas de gestión protegidas (PMF), lo que ayuda a evitar la suplantación de tramas de gestión y ciertos ataques de desautenticación o suplantación de identidad. También identifica la inspección de tráfico de Capa 2, la inspección ARP, la conversión de multidifusión a unidifusión y la aleatorización de claves de grupo como mecanismos que pueden reducir la exposición entre clientes en puntos de acceso públicos.
La elección de las credenciales sigue cambiando el resultado. EAP-TLS puede proporcionar un certificado a cada dispositivo, ofrecer autenticación mutua y permitir la revocación selectiva. El EAP basado en SIM vincula el acceso a las credenciales del operador móvil. Por tanto, la seguridad depende del tipo de credencial y del diseño de la infraestructura central, y la red de transporte (backhaul) entre la zona WiFi y el núcleo del proveedor sigue necesitando protección.
Ese es también el límite que se debe tener en cuenta. Un dispositivo perdido y no protegido puede contener un perfil válido, y una directiva de backend débil puede desperdiciar una autenticación sólida. El acceso automático mejora la capa de WiFi, pero no sustituye a unos buenos controles de dispositivos o al diseño de red. Los recintos que solucionan problemas diarios de rendimiento también necesitan los aspectos básicos, y esta guía sobre cómo mejorar la WiFi para reuniones de vídeo es un recordatorio útil de que la autenticación, la cobertura y el ancho de banda resuelven problemas diferentes.
Cómo se conecta Passpoint sin solicitar contraseña
La conexión parece instantánea porque la mayor parte del proceso tiene lugar antes de la asociación. Su dispositivo pregunta cuál es la red, comprueba si ya confía en ese proveedor y, solo entonces, se conecta y se autentica.
El siguiente diagrama resume esta misma secuencia en cuatro etapas.
Los seis pasos en orden
- Beacon del punto de acceso: El punto de acceso anuncia información básica de la red en sus beacons. Esto indica a un dispositivo compatible que hay más detalles disponibles antes de que se comprometa a conectarse.
- Consulta ANQP: El dispositivo envía una consulta Access Network Query Protocol para conocer la identidad del operador, el tipo de conectividad, los socios de roaming y los servicios admitidos. Cisco describe el ANQP como el mecanismo de consulta y respuesta para las capacidades de la red en su nota técnica de Hotspot 2.0.
- Comparación de perfiles: El dispositivo compara esas respuestas con la suscripción o el perfil de credenciales aprovisionado que ya posee. Esto evita que intente conectarse por ensayo y error a redes que no tiene derecho a utilizar.
- Selección de red: Si hay una coincidencia, selecciona una red elegible sin que usted tenga que elegir un SSID. Si no hay coincidencia, no inventa el acceso.
- Autenticación EAP: Ejecuta un método EAP empresarial, casi siempre EAP-TLS con un certificado de dispositivo, o EAP-TTLS con credenciales tunelizadas. Si está valorando la autenticación por certificado frente a los métodos basados en contraseña, esta comparación de los métodos de autenticación EAP-TLS y PEAP explica las ventajas y desventajas prácticas.
- Decisión de AAA y RADIUS: La red de acceso pasa la solicitud a un servicio AAA o RADIUS de origen. Ese servicio decide si el dispositivo está autorizado y qué directiva recibe.
La división entre los pasos es el punto que los lectores suelen pasar por alto. ANQP gestiona la detección. AAA gestiona el permiso. ANQP no concede acceso y RADIUS no elige entre las redes cercanas. Cada uno resuelve una mitad del problema.
El breve vídeo a continuación muestra visualmente el flujo de conexión, lo que resulta de ayuda si conceptos como baliza, consulta y autenticación aún le parecen un mismo evento.
Error habitual: Un dispositivo sin un perfil válido no puede utilizar Passpoint solo porque el punto de acceso lo admita. Vuelve a la red WiFi ordinaria y solicita credenciales, un inicio de sesión en el portal o una contraseña compartida.
Puede verificar el resultado sin necesidad de realizar capturas de paquetes. Busque un perfil de proveedor guardado en los ajustes del dispositivo WiFi y, a continuación, desconéctese y vuelva a conectarse. Una conexión Passpoint correcta se vuelve a establecer sin que aparezca primero una página de portal.
Cómo obtienen los dispositivos un perfil de Passpoint
La incorporación automática comienza con un paso de aprovisionamiento puntual. Un dispositivo necesita un perfil o identidad antes de poder reconocer una red participante, comparar lo que esa red anuncia y presentar la credencial correcta.
Ese perfil es el elemento clave de todo el sistema. Sin él, el dispositivo no tiene nada que cotejar, ningún proveedor de confianza que seleccionar ni ninguna credencial que enviar. Con él, el mismo registro se puede reutilizar en visitas posteriores en lugar de tener que empezar de nuevo en una página de inicio de sesión.
Comparativa de vías de aprovisionamiento
| Ruta | Credencial | Dónde encaja |
|---|---|---|
| Registro en línea | Cuenta creada en el dispositivo durante el registro | Dispositivos sin SIM, incorporación Release 2 |
| EAP basado en SIM | Credenciales SIM de operador móvil | Descarga de tráfico de operador (carrier offload) |
| Certificado EAP-TLS | Certificado de dispositivo emitido por el proveedor | Identidad empresarial con revocación dirigida |
| Identidad OpenRoaming | Identidad de un proveedor de identidad participante | Roaming a través de redes participantes |
| Perfil de proveedor manual | Perfil aprovisionado en el dispositivo | Flotas gestionadas e incorporación dirigida por el proveedor donde el departamento de TI instala el perfil directamente |
El registro en línea exige un mayor esfuerzo al usuario al principio, pero resuelve una carencia importante. Permite que un dispositivo sin tarjeta SIM se inscriba por sí mismo, de modo que un ordenador portátil o una tableta no queden excluidos solo por no tener una suscripción móvil. Tras ese primer registro, las conexiones posteriores no necesitan volver a pasar por el flujo de registro.
EAP basado en SIM traslada la gestión de identidades a otro lugar. La credencial del operador móvil ya existe en el teléfono, lo que resulta adecuado para la descarga de tráfico de los operadores cuando el proveedor desea que los terminales elegibles se trasladen a WiFi sin distribuir contraseñas. El establecimiento sigue necesitando el acuerdo de roaming adecuado y la ruta en el sistema interno.
Los certificados EAP-TLS son adecuados para organizaciones que gestionan los dispositivos directamente. El proveedor emite un certificado para el dispositivo, la autenticación mutua comprueba ambas partes y el departamento de TI puede revocar ese certificado específico si el dispositivo se pierde o deja de estar en servicio. Para dispositivos mixtos de uso personal y de trabajo, nuestra guía sobre la incorporación de BYOD para redes de recintos muestra cómo afectan las opciones de registro al soporte y al control.
Una identidad de OpenRoaming procede de un proveedor de identidades participante. El usuario se registra una vez con ese proveedor y las redes que aceptan dicha identidad pueden autenticar el dispositivo cuando se conecta. Un perfil de proveedor manual sigue la misma lógica a menor escala, siendo el proveedor o el equipo de TI quien instala la configuración en el dispositivo.
Qué comprobar antes de depender de un perfil
El soporte para dispositivos y sistemas operativos varía, por lo que debe confirmar la compatibilidad en los teléfonos, portátiles y tabletas reales que utilicen los usuarios antes de planificar la implantación. No realice las pruebas únicamente en un teléfono de gama alta nuevo si el personal utiliza terminales más antiguos.
También puede comprobar si el aprovisionamiento ha funcionado. El perfil debería aparecer en los ajustes de WiFi y el dispositivo debería reconectarse sin necesidad de una página portal. Tras la autenticación, los atributos de autorización de RADIUS pueden clasificar a los invitados, al personal y a los dispositivos gestionados en segmentos independientes, de modo que la ruta que elija afectará no solo a la conexión, sino también a la red de destino del dispositivo.
Passpoint, portales cautivos y OpenRoaming: comparativa
Comience con la vista comparativa y, a continuación, utilice las siguientes notas para interpretarla.
| Aspecto | Passpoint | Portal cautivo | OpenRoaming |
|---|---|---|---|
| Cómo se conecta el dispositivo | Selección automática a partir de la información de red anunciada | Elección manual de la red y, a continuación, una página web | Automática mediante un perfil de Passpoint habilitado para OpenRoaming |
| Inicio de sesión en cada visita | No, si hay credenciales válidas | Sí, la página del portal aparece cada vez | No, el perfil se vuelve a conectar |
| Credenciales utilizadas | Certificados, credenciales SIM o un perfil aprovisionado | Datos de invitado, vale, inicio de sesión mediante redes sociales o código SMS | Identidad de un proveedor de identidad participante |
| Cifrado | WPA2-Enterprise o WPA3-Enterprise con 802.1X | A menudo red abierta o clave compartida, según el recinto | Hereda WPA2-Enterprise o WPA3-Enterprise de Passpoint |
| Base de los estándares | IEEE 802.11u, IEEE 802.1X, Hotspot 2.0 | Autenticación web específica del proveedor | Desarrollado sobre Passpoint, regido por la Wireless Broadband Alliance |
| Ubicación habitual | Operadores, aeropuertos, grandes instalaciones | Cafeterías, hoteles, la mayoría de WiFi públicas | Itinerancia entre redes participantes para usuarios registrados |
Cómo interpretar las diferencias
- Portal cautivo: El usuario se conecta manualmente y, a continuación, una página web lo detiene en cada visita para recopilar sus datos, un cupón o la aceptación de los términos.
- Passpoint: El dispositivo se conecta automáticamente una vez que hay un perfil presente, mediante cifrado y autenticación empresarial.
- OpenRoaming: Se trata de un marco de identidad basado en Passpoint, por lo que amplía las credenciales que aceptan las redes participantes. Nuestra explicación sobre OpenRoaming WiFi para recintos aborda cómo funciona dicha federación en la práctica.
Estas opciones se solapan en lugar de competir. Un hotel, por ejemplo, puede utilizar un portal para un huésped que lo visita por primera vez y no tiene perfil, y luego ofrecer el registro de perfil para que ese mismo huésped se vuelva a conectar automáticamente al día siguiente. El cliente de un operador puede omitir el portal por completo si la credencial de la tarjeta SIM y el acuerdo de roaming ya coinciden.
La adopción avanza hacia ese modelo federado. La encuesta de la Wireless Broadband Alliance publicada por Telecoms.com reveló que, en 2024, el 81 % de los 180 ejecutivos del sector WiFi entrevistados a nivel global afirmó que planeaba desplegar OpenRoaming en 2025 o 2026. Considere esto como una señal de adopción y no como una prueba de que todas las instalaciones deban unirse a una federación de inmediato.
Prueba de llegada: Si aparece una página de inicio de sesión en cada visita, está viendo un portal. Si el dispositivo se conecta de forma silenciosa con un perfil registrado, está viendo Passpoint, posiblemente con OpenRoaming detrás.
Esa sencilla prueba evita mucha confusión en las conversaciones con los proveedores. Pregunte qué credencial presenta el dispositivo, no solo si la experiencia resulta fluida. Una contraseña compartida guardada también puede volver a conectar automáticamente, pero no es un acceso basado en la identidad.
Dónde se despliega Passpoint y qué no hace
Passpoint salió pronto del laboratorio. El anuncio de despliegue de la Wi-Fi Alliance informa de que la primera red WiFi para aeropuertos habilitada para Passpoint se implementó en septiembre de 2013, seguida de despliegues que incluyeron Trafalgar Square en Londres, el Aeropuerto Louis Armstrong en Nueva Orleans y el Aeropuerto John Wayne en California.
En una encuesta de la WiFi Alliance asociada a la fase inicial del programa Passpoint, el 84 % de los encuestados mostró interés en el descubrimiento y la autenticación automáticos de puntos de acceso. Durante esa fase inicial, la Alliance notificó aproximadamente 75 dispositivos cliente Passpoint. Más adelante describió que Passpoint estaba habilitado en la mayoría de los dispositivos móviles y notificó un despliegue que cubría 13 000 ubicaciones en China entre restaurantes, cafeterías, supermercados y centros comerciales.
Supongamos que un viajero instala un perfil compatible antes de un viaje. El mismo teléfono puede conectarse a la red del aeropuerto al llegar y, después, a la de una cafetería cercana, sin ver una página de inicio de sesión en ninguna de las dos paradas. El teléfono no está recordando dos contraseñas de SSID. Simplemente está cotejando cada red anunciada con la información de identidad e itinerancia de su perfil.
Cuatro ideas erróneas que se deben corregir
- Passpoint no es OpenRoaming: OpenRoaming es un marco de identidad creado sobre Passpoint. Passpoint puede funcionar en la propiedad de un solo proveedor sin esa federación más amplia.
- No funciona a partir de la nada: Debe existir un perfil aprovisionado antes de la conexión automática. La compatibilidad en el punto de acceso por sí sola no es suficiente.
- No todos los teléfonos lo admiten: La compatibilidad de dispositivos y sistemas operativos varía. Compruebe la flota y los dispositivos de invitados que espera y, a continuación, mantenga una alternativa para el resto.
- No hace que una red sea inquebrantable: No protege un dispositivo robado, no corrige una directiva de backend débil ni compensa una segmentación deficiente tras la autenticación.
Passpoint demuestra la identidad y cifra el acceso. No reemplaza a todos los portales cautivos, ni repara un diseño de red deficiente, ni garantiza la seguridad de un dispositivo extraviado.
Este último punto es importante para las decisiones de compra. Una cafetería con visitantes principalmente ocasionales puede seguir necesitando un portal sencillo, mientras que un aeropuerto con viajeros frecuentes y operadores asociados obtiene más ventajas del roaming automático. La respuesta correcta depende de quién regrese, qué identidades posean y qué pueda aplicar el sistema interno.
Utilice una regla general cuando escuche una afirmación categórica. Pregunte si especifica la credencial, el cifrado y el backend. Si no puede especificar los tres, está escuchando una etiqueta de marketing en lugar de un diseño de seguridad.
Decida si Passpoint se adapta a su red
Realice una prueba de sí o no antes de analizar los productos. Passpoint es adecuado cuando muchos usuarios regresan, los dispositivos pueden albergar perfiles, necesita una segmentación basada en la identidad y sus puntos de acceso admiten el estándar. Si la mayoría de las respuestas son afirmativas, el acceso automático elimina el trabajo repetitivo sin renunciar al control por dispositivo.
Un portal cautivo sigue siendo más adecuado para visitantes ocasionales, dispositivos sin compatibilidad con perfiles y establecimientos sin proveedor de identidades. Eso no es un fallo. Un huésped ocasional que necesita diez minutos de WiFi estará mejor atendido por un portal claro que por un flujo de registro que nunca volverá a utilizar.
Muchos recintos deberían ejecutar ambos. Mantenga el portal para visitantes ocasionales y el primer registro, y luego permita que los clientes habituales, el personal o los residentes utilicen un perfil. La decisión no es elegir entre portal o Passpoint para todos. Se trata de determinar qué ruta se adapta a cada grupo.
Realice una prueba piloto en una ubicación antes del despliegue general
Empiece en una única ubicación, junto a la red que opera actualmente, para que los usuarios existentes no sufran interrupciones durante las pruebas. Purple Access permite a los clientes validar primero la solución en un centro habilitando redes abiertas, seguras y xPSK en los puntos de acceso ya disponibles, para después evaluar el resultado mediante incidencias y evidencias de auditoría antes de desplegarla por completo.
Evalúe esa prueba piloto basándose en pruebas que pueda inspeccionar. Realice un seguimiento del éxito de las conexiones, cuente las incidencias de soporte, revise los registros de autenticación y pruebe la revocación en un dispositivo que usted controle. Si un perfil revocado aún se conecta, o si el personal no puede determinar qué identidad se ha autenticado, solucione esto antes de añadir más sedes.
También puede recurrir a una sesión de diseño de 45 minutos en la que un ingeniero de redes de Purple asigne sus SSID a redes abiertas, seguras y de xPSK en los puntos de acceso que ya posee, y usted conserve el plan. Esto le ofrece un diseño concreto para probar en lugar de una promesa general sobre un acceso fluido.
Tres acciones para esta semana
- Confirme la compatibilidad: Compruebe la compatibilidad con Passpoint en sus puntos de acceso y en dispositivos de usuario representativos.
- Confirme la ruta de identidad: Decida si ofrecerá perfiles de proveedor, certificados, acceso basado en SIM o OpenRoaming.
- Elija una ubicación piloto: Seleccione una ubicación con usuarios recurrentes y una demanda de soporte medible; a continuación, defina los criterios de éxito antes de activar cualquier elemento.
Si los usuarios recurrentes siguen encontrándose con un portal o una contraseña compartida en cada visita, Purple Access puede ayudarle a implementar redes abiertas, seguras y xPSK en los puntos de acceso de los que ya dispone, con Passpoint y OpenRoaming en la red segura. Comience con la sesión de diseño de 45 minutos para planificar sus SSID actuales, conservar el plan y realizar una prueba piloto del resultado en una ubicación antes del despliegue generalizado.
