O que é o Passpoint? Explicação do WiFi automático e seguro
Published
Passpoint é uma certificação da Wi-Fi Alliance baseada no Hotspot 2.0 que permite que um dispositivo se ligue a uma rede participante automaticamente quando possui credenciais válidas, em vez de escolher um SSID e introduzir uma palavra-passe.
Se um telemóvel pode fazer roaming entre antenas móveis sem pedir para iniciar sessão de cada vez, porque é que o WiFi ainda pede aos visitantes recorrentes para encontrarem um nome de rede, aguardarem por uma página web e se autenticarem novamente? Essa lacuna é normalmente tratada como algo normal. Não é um limite técnico. É o que acontece quando o acesso é construído em torno de uma palavra-passe partilhada ou de uma página de portal, em vez de uma identidade que o dispositivo já possui.
Índice
- O que é o Passpoint e por que razão é mais seguro do que hotspots abertos
- Como o Passpoint se liga sem um pedido de palavra-passe
- Como os dispositivos obtêm um perfil Passpoint
- Comparação entre Passpoint, portais cativos e OpenRoaming
- Onde o Passpoint é implementado e o que não faz
- Decida se o Passpoint se adequa à sua rede
O que é o Passpoint e por que razão é mais seguro do que os hotspots abertos
Passpoint, também denominado Hotspot 2.0, é o programa de certificação da Wi-Fi Alliance que permite a um dispositivo encontrar, verificar e ligar-se automaticamente a uma rede participante quando possui credenciais válidas. De acordo com a vista geral sobre a tecnologia Wi-Fi Alliance Passpoint, utiliza o padrão IEEE 802.11u para a deteção pré-associação, IEEE 802.1X para autenticação e WPA2-Enterprise ou WPA3-Enterprise para acesso encriptado.
Passpoint é uma certificação da Wi-Fi Alliance baseada no Hotspot 2.0. Utiliza o 802.11u para descobrir redes antes de se ligar, o 802.1X para verificar a identidade, e o WPA2-Enterprise ou WPA3-Enterprise para encriptar a ligação.
Pense nisto como um cartão de membro aceite em locais parceiros. Inscreve-se uma vez, o cartão fica na sua carteira e a equipa de cada local verifica o cartão em vez de lhe pedir para assinar um livro de visitas. Um hotspot aberto funciona ao contrário. Procura a porta certa, introduz novamente uma palavra-passe que todos partilham e repete o processo na sua visita seguinte.
De onde veio a norma
A WiFi Alliance introduziu o Release 1 em 2012, inicialmente focado no acesso seguro a hotspots e no roaming entre fornecedores, e depois introduziu o Release 2 em 2014 com registo online e suporte para a inscrição de dispositivos sem SIM. Esse histórico é importante porque o Passpoint não foi concebido para ser uma página de login mais agradável. Foi concebido para aproximar o WiFi público do roaming baseado em credenciais.
Por que razão o modelo de segurança é mais forte
Uma rede aberta com portal cativo geralmente não possui credenciais por dispositivo na camada WiFi. O portal pode recolher um endereço de e-mail ou voucher após a associação, mas isso não comprova a identidade de cada dispositivo da mesma forma, nem encripta por si só a ligação sem fios. O Passpoint certificado utiliza 802.1X e EAP em vez de uma chave partilhada, pelo que a rede verifica uma credencial associada a um dispositivo, utilizador, SIM ou fornecedor.
As orientações de segurança da WiFi Alliance Passpoint estabelecem que o Passpoint requer Protected Management Frames, o que ajuda a evitar a falsificação de tramas de gestão e determinados ataques de desautenticação ou personificação. Identificam também a inspeção de tráfego de Camada 2, proxy ARP, conversão de multicast para unicast e a aleatorização de chaves de grupo como mecanismos que podem reduzir a exposição entre clientes em pontos de acesso públicos.
A escolha da credencial continua a alterar o resultado. O EAP-TLS pode atribuir um certificado a cada dispositivo, fornecer autenticação mútua e permitir a revogação direcionada. O EAP baseado em SIM vincula o acesso às credenciais do operador móvel. Portanto, a segurança depende do tipo de credencial e da arquitetura do servidor central, e a ligação entre o hotspot e o núcleo do fornecedor continua a precisar de proteção.
Esse é também o limite a ter em conta. Um dispositivo perdido ou não protegido pode conter um perfil válido e uma política de backend frágil pode desperdiçar uma autenticação forte. O acesso automático melhora a camada de WiFi, mas não substitui controlos adequados nos dispositivos nem uma boa conceção da rede. Os locais de grande afluência que lidam com problemas diários de desempenho continuam a precisar dos conceitos básicos, e este guia sobre como melhorar o WiFi para reuniões de vídeo serve como um lembrete útil de que a autenticação, a cobertura e a largura de banda resolvem problemas diferentes.
Como o Passpoint se liga sem um pedido de palavra-passe
A ligação parece instantânea porque a maior parte do trabalho acontece antes da associação. O seu dispositivo pergunta qual é a rede, verifica se já confia nesse fornecedor e só depois se liga e autentica.
O diagrama abaixo resume a mesma sequência em quatro etapas.
Os seis passos por ordem
- Beacon de ponto de acesso: O ponto de acesso anuncia informações básicas da rede nos seus beacons. Isto informa um dispositivo compatível de que estão disponíveis mais detalhes antes de este se comprometer a aderir.
- Consulta ANQP: O dispositivo envia uma consulta Access Network Query Protocol para obter a identidade do operador, o tipo de conetividade, os parceiros de roaming e os serviços suportados. A Cisco descreve o ANQP como o mecanismo de consulta e resposta para capacidades de rede na sua nota técnica do Hotspot 2.0.
- Comparação de perfis: O dispositivo compara essas respostas com o perfil de credenciais ou de subscrição aprovisionado que já possui. Isto evita a adesão por tentativa e erro a redes para as quais não tem direitos de utilização.
- Seleção de rede: Se houver uma correspondência, seleciona uma rede elegível sem que tenha de escolher um SSID. Se não houver correspondência, não inventa o acesso.
- Autenticação EAP: Executa um método EAP empresarial, mais frequentemente EAP-TLS com um certificado de dispositivo, ou EAP-TTLS com credenciais em túnel. Se estiver a ponderar a autenticação por certificado face a métodos baseados em palavra-passe, esta comparação de métodos de autenticação EAP-TLS e PEAP explica as vantagens e desvantagens práticas.
- Decisão de AAA e RADIUS: A rede de acesso passa o pedido a um serviço de AAA ou RADIUS de origem. Esse serviço decide se o dispositivo é permitido e qual a política que recebe.
A divisão entre as etapas é o ponto que os leitores frequentemente não percebem. O ANQP trata da descoberta. O AAA trata da permissão. O ANQP não concede acesso, e o RADIUS não escolhe entre as redes próximas. Cada um resolve metade do problema.
O breve vídeo abaixo explica visualmente o fluxo de ligação, o que ajuda se o beacon, a consulta e a autenticação ainda parecerem um único evento.
Erro comum: Um dispositivo sem um perfil válido não pode utilizar Passpoint apenas porque o ponto de acesso o suporta. Este recorre à rede WiFi normal e solicita credenciais, um início de sessão através de portal ou uma palavra-passe partilhada.
Pode verificar o resultado sem capturas de pacotes. Procure um perfil de fornecedor guardado nas definições de WiFi do dispositivo, depois saia e volte. Uma ligação Passpoint a funcionar volta a ligar-se sem que apareça primeiro uma página de portal.
Como os dispositivos obtêm um perfil Passpoint
A ligação automática começa com uma etapa de aprovisionamento única. Um dispositivo precisa de um perfil ou identidade antes de poder reconhecer uma rede participante, comparar o que essa rede anuncia e apresentar a credencial correta.
Esse perfil é o elemento fundamental em todo o sistema. Sem ele, o dispositivo não tem nada para corresponder, nenhum fornecedor de confiança para selecionar e nenhuma credencial para enviar. Com ele, o mesmo registo pode ser reutilizado em visitas posteriores, em vez de recomeçar numa página de início de sessão.
Comparação das vias de aprovisionamento
| Rota | Credencial | Onde se enquadra |
|---|---|---|
| Registo online | Conta criada no dispositivo durante a inscrição | Dispositivos sem SIM, integração da Release 2 |
| EAP baseado em SIM | Credenciais de SIM de operador móvel | Offload de operador |
| Certificado EAP-TLS | Certificado de dispositivo emitido pelo fornecedor | Identidade empresarial com revogação direcionada |
| Identidade OpenRoaming | Identidade de um fornecedor de identidade participante | Roaming em redes participantes |
| Perfil de fornecedor manual | Perfil aprovisionado no dispositivo | Frotas geridas e inscrição orientada pelo fornecedor onde a TI instala o perfil diretamente |
O registo online é o que exige mais do utilizador numa fase inicial, mas resolve uma lacuna importante. Permite que um dispositivo sem cartão SIM se registe, para que um portátil ou tablet não seja excluído apenas por não ter uma subscrição móvel. Após esse primeiro registo, as ligações posteriores já não precisam do fluxo de registo novamente.
O EAP baseado em SIM coloca o trabalho de identidade noutro local. A credencial da operadora móvel já existe no telemóvel, o que se adequa ao descarregamento de tráfego de operadoras onde o fornecedor pretende que os dispositivos elegíveis se mudem para a rede WiFi sem fornecer palavras-passe. O local continua a precisar do acordo de roaming adequado e do encaminhamento de backend.
Os certificados EAP-TLS são adequados para organizações que gerem dispositivos diretamente. O fornecedor emite um certificado para o dispositivo, a autenticação mútua verifica ambos os lados e a equipa de TI pode revogar esse certificado individual se o dispositivo for perdido ou desativado. Para uma mistura de dispositivos pessoais e de trabalho, as nossas orientações sobre o onboarding BYOD para redes em locais de grande afluência mostram como as escolhas de registo afetam o suporte e o controlo.
Uma identidade OpenRoaming provém de um fornecedor de identidades participante. O utilizador inscreve-se uma vez nesse fornecedor, e as redes que aceitam essa identidade podem autenticar o dispositivo quando este chega. Um perfil manual de fornecedor segue a mesma lógica em menor escala, com o fornecedor ou a equipa de TI a colocar a configuração no dispositivo.
O que verificar antes de depender de um perfil
O suporte de dispositivos e sistemas operativos varia, por isso confirme o suporte nos telemóveis, portáteis e tablets reais que os seus utilizadores utilizam antes de planear uma implementação. Não teste apenas num telemóvel de topo novo se a equipa utilizar equipamentos mais antigos.
Também pode verificar se o aprovisionamento funcionou. O perfil deve aparecer nas definições de WiFi, e o dispositivo deve reconectar-se sem uma página de portal. Após a autenticação, os atributos de autorização do RADIUS podem colocar convidados, funcionários e dispositivos geridos em segmentos separados, pelo que o caminho que escolher afeta não só a ligação, mas também o segmento onde o dispositivo fica alocado.
Comparação entre Passpoint, portais cativos e OpenRoaming
Comece pela vista comparativa e, em seguida, utilize as notas abaixo para a interpretar.
| Aspeto | Passpoint | Portal cativo | OpenRoaming |
|---|---|---|---|
| Como o dispositivo se liga | Seleção automática a partir das informações de rede anunciadas | Escolha manual de rede, seguida de uma página web | Automática através de um perfil Passpoint compatível com OpenRoaming |
| Início de sessão em cada visita | Não, quando estão presentes credenciais válidas | Sim, a página do portal surge de todas as vezes | Não, o perfil volta a ligar-se |
| Credenciais utilizadas | Certificados, credenciais SIM ou um perfil aprovisionado | Dados de visitante, código promocional, início de sessão social ou código SMS | Identidade de um fornecedor de identidade participante |
| Encriptação | WPA2-Enterprise ou WPA3-Enterprise com 802.1X | Frequentemente aberta ou com chave partilhada, consoante o local | Herda WPA2-Enterprise ou WPA3-Enterprise do Passpoint |
| Base das normas | IEEE 802.11u, IEEE 802.1X, Hotspot 2.0 | Autenticação web específica do fornecedor | Desenvolvido com base no Passpoint, regido pela Wireless Broadband Alliance |
| Local típico | Operadoras, aeroportos, grandes edifícios/recintos | Cafés, hotéis, a maioria do WiFi público | Roaming entre redes participantes para utilizadores registados |
Como interpretar as diferenças
- Portal cativo: O utilizador liga-se manualmente e, em seguida, uma página web bloqueia-o a cada visita para recolher dados, um voucher ou a aceitação dos termos.
- Passpoint: O dispositivo liga-se automaticamente assim que existe um perfil, utilizando autenticação empresarial e encriptação.
- OpenRoaming: Trata-se de uma estrutura de identidade desenvolvida sobre o Passpoint, alargando assim as credenciais que as redes participantes aceitam. O nosso guia explicativo sobre o OpenRoaming WiFi para locais de grande afluência aborda a forma como essa federação funciona na prática.
Estas opções sobrepõem-se em vez de competirem. Um hotel, por exemplo, pode utilizar um portal para um hóspede em primeira visita que não possui perfil e, em seguida, oferecer o registo de perfil para que o mesmo hóspede se volte a ligar automaticamente no dia seguinte. Um cliente de uma operadora pode saltar totalmente o portal se a credencial do SIM e o acordo de roaming já corresponderem.
A adoção está a caminhar para esse modelo federado. O inquérito da Wireless Broadband Alliance divulgado pelo Telecoms.com revelou que, em 2024, 81% de 180 executivos do setor WiFi inquiridos a nível global disseram que planeavam implementar o OpenRoaming em 2025 ou 2026. Considere isto como um sinal de adoção e não como uma prova de que todos os locais se devem juntar a uma federação já neste momento.
Teste à chegada: Se surge uma página de início de sessão em cada visita, está perante um portal. Se o dispositivo se liga silenciosamente com um perfil registado, está a ver Passpoint, possivelmente com OpenRoaming na infraestrutura subjacente.
Esse teste simples evita muita confusão em conversas com fornecedores. Pergunte qual a credencial que o dispositivo apresenta, não apenas se a experiência parece fluida. Uma palavra-passe partilhada memorizada também pode reconectar automaticamente, mas isso não é um acesso baseado na identidade.
Onde o Passpoint é implementado e o que não faz
Passpoint saiu do laboratório cedo. O anúncio de implementação da Wi-Fi Alliance refere que a primeira rede WiFi de aeroporto com Passpoint ativado foi implementada em setembro de 2013, seguida por implementações que incluem Trafalgar Square em Londres, o Aeroporto Louis Armstrong em Nova Orleães e o Aeroporto John Wayne na Califórnia.
Num inquérito da WiFi Alliance associado ao programa inicial Passpoint, 84% dos inquiridos manifestaram interesse na deteção e autenticação automáticas de pontos de acesso. Durante essa fase inicial, a Alliance reportou aproximadamente 75 dispositivos de cliente Passpoint. Mais tarde, descreveu o Passpoint como estando ativado na maioria dos dispositivos móveis e reportou uma implementação que abrangia 13 000 localizações na China entre restaurantes, cafés, supermercados e centros comerciais.
Imaginemos que um viajante instala um perfil elegível antes de uma viagem. O mesmo telemóvel pode ligar-se à rede do aeroporto à chegada e, em seguida, ligar-se num café mais à frente, sem uma página de login em nenhuma das paragens. O telemóvel não está a memorizar duas palavras-passe de SSID. Está a corresponder cada rede anunciada com a identidade e as informações de roaming no seu perfil.
Quatro equívocos a corrigir
- Passpoint não é o mesmo que OpenRoaming: O OpenRoaming é uma estrutura de identidade desenvolvida sobre a tecnologia Passpoint. O Passpoint pode funcionar na infraestrutura de um único fornecedor sem essa federação mais abrangente.
- Não funciona a partir do nada: É necessário existir um perfil aprovisionado antes da ligação automática. O suporte apenas no ponto de acesso não é suficiente.
- Nem todos os telemóveis o suportam: O suporte por parte do dispositivo e do sistema operativo varia. Verifique os dispositivos da frota e dos visitantes que prevê receber e mantenha uma opção alternativa para os restantes.
- Não torna uma rede inviolável: Não protege um dispositivo roubado, não corrige políticas frágeis no backend nem compensa uma má segmentação após a autenticação.
O Passpoint comprova a identidade e encripta o acesso. Não substitui todos os portais cativos, não repara um design de rede fraco nem torna seguro um dispositivo perdido.
Este último ponto é importante para as decisões de compra. Um café com maioritariamente visitantes ocasionais pode continuar a precisar de um portal simples, enquanto um aeroporto com viajantes frequentes e parceiros de operadoras beneficia mais do roaming automático. A resposta certa depende de quem regressa, de quais as identidades que possuem e do que a infraestrutura no backend consegue aplicar.
Utilize uma regra geral quando ouvir uma afirmação genérica. Pergunte se especifica a credencial, a encriptação e a infraestrutura de suporte. Se não conseguir especificar os três elementos, está a ouvir um rótulo de marketing e não a ver uma arquitetura de segurança.
Decida se o Passpoint se adequa à sua rede
Utilize um teste de sim ou não antes de discutir produtos. O Passpoint adequa-se quando muitos utilizadores regressam, os dispositivos podem guardar perfis, necessita de segmentação baseada na identidade e os seus pontos de acesso suportam a norma. Se a maioria das respostas for sim, o acesso automático elimina o trabalho repetido sem abdicar do controlo por dispositivo.
Um portal cativo continua a ser mais adequado para visitantes ocasionais, dispositivos sem suporte a perfis e locais sem fornecedor de identidade. Isso não é uma falha. Um visitante pontual que precise de dez minutos de WiFi pode ser melhor servido por um portal claro do que por um fluxo de registo que nunca mais voltará a utilizar.
Muitos locais deveriam disponibilizar ambos. Mantenha o portal para visitantes ocasionais e para o primeiro registo, e depois permita que os convidados recorrentes, funcionários ou residentes utilizem um perfil. A decisão não é entre portal ou Passpoint para todos. Trata-se de saber qual o percurso adequado para cada grupo.
Faça um piloto num local antes da implementação geral
Comece em um local, ao lado da rede que gere atualmente, para que os utilizadores existentes não sejam interrompidos enquanto testa. O Purple Access permite que os clientes comprovem a solução primeiro num local, colocando WiFi aberto, seguro e xPSK nos pontos de acesso que o local já tem, avaliando depois o resultado nos bilhetes de suporte e nas provas de auditoria antes de implementar a nível global.
Avalie esse piloto com base em evidências que possa inspecionar. Monitorize o sucesso das ligações, conte os pedidos de suporte, reveja os registos de autenticação e teste a revogação num dispositivo sob o seu controlo. Se um perfil revogado continuar a ligar-se, ou se a equipa não conseguir identificar qual a identidade autenticada, corrija isso antes de adicionar mais locais.
Também pode utilizar uma sessão de conceção de 45 minutos na qual um engenheiro de redes Purple mapeia os seus SSIDs em redes abertas, seguras e xPSK nos pontos de acesso que já possui, ficando com o plano. Isso dá-lhe um projeto concreto para testar, em vez de uma promessa geral sobre um acesso sem complicações.
Três ações para esta semana
- Confirme o suporte: Verifique o suporte a Passpoint nos seus pontos de acesso e nos dispositivos representativos dos utilizadores.
- Confirme a rota de identidade: Decida se vai oferecer perfis de fornecedor, certificados, acesso baseado em SIM ou OpenRoaming.
- Escolha um local piloto: Escolha um local com utilizadores recorrentes e procura de suporte mensurável e, em seguida, defina o sucesso antes de ativar seja o que for.
Se os utilizadores recorrentes continuam a deparar-se com um portal ou uma palavra-passe partilhada em cada visita, o Purple Access pode ajudá-lo a disponibilizar redes abertas, seguras e xPSK nos pontos de acesso que já possui, com Passpoint e OpenRoaming na rede segura. Comece com a sessão de design de 45 minutos para mapear os seus SSIDs atuais, guardar o plano e testar o resultado num local piloto antes de o implementar globalmente.
