什麼是 Passpoint？為您解析安全自動 WiFi
Published
Passpoint 是基於 Hotspot 2.0 的 WiFi Alliance 認證，裝置只要持有有效憑證，即可自動加入參與該計劃的網路，無須手動選取 SSID 或輸入密碼。
如果手機可以在行動基地台之間漫遊，而不需要您每次都登入，為什麼 WiFi 仍然要求再次光臨的訪客尋找網路名稱、等待網頁載入並重新進行身份驗證？這種落差通常被視為正常現象。但這並非技術限制，而是當網路存取權是圍繞著共用密碼或入口網站頁面，而非裝置本身已攜帶的身份識別來建構時所產生的結果。
目錄
- Passpoint 簡介及其安全性優於開放式熱點的原因
- Passpoint 如何在無需密碼提示的情況下進行連線
- 裝置如何取得 Passpoint 設定檔
- Passpoint、強制入口與 OpenRoaming 之比較
- Passpoint 的部署位置與非適用範圍
- 評估 Passpoint 是否適合您的網路
瞭解 Passpoint 的定義，以及為何它比開放式熱點更具安全性
Passpoint（亦稱為 Hotspot 2.0）是 WiFi Alliance 認證計畫，可讓持有有效憑證的裝置在發現參與網路時自動進行驗證與連線。根據 WiFi Alliance Passpoint 技術概述，它使用 IEEE 802.11u 進行關聯前探索、IEEE 802.1X 進行身分驗證，並使用 WPA2-Enterprise 或 WPA3-Enterprise 進行加密存取。
Passpoint 是基於 Hotspot 2.0 的 Wi-Fi Alliance 認證。它在連線前使用 802.11u 探索網路，使用 802.1X 檢查身分，並使用 WPA2-Enterprise 或 WPA3-Enterprise 加密連結。
您可以將其想像為可在合作據點使用的會員卡。您只需註冊一次，卡片就會保留在您的錢包中，各據點的工作人員會檢查該卡片，而不是要求您簽署訪客登記簿。開放式熱點的操作方式則相反。您需要尋找正確的入口、重新輸入大家共用的密碼，並在下次造訪時重複此流程。
此標準的由來
WiFi 聯盟於 2012 年推出了 Release 1，最初針對安全熱點存取與跨提供者漫遊，隨後於 2014 年推出了 Release 2，支援線上註冊與非 SIM 裝置的註冊。這段歷史非常重要，因為 Passpoint 的設計初衷並非做為一個更美觀的登入頁面，而是為了推動公共 WiFi 朝向基於憑證的漫遊發展。
為何此安全模型更加強大
開放式強制入口網路通常在 WiFi 層級沒有針對個別裝置的憑證。入口網站可能會在關聯後收集電子郵件地址或兌換碼，但這無法以相同方式證明每個裝置的身分，且其本身不會對無線連線進行加密。獲得認證的 Passpoint 使用 802.1X 與 EAP 來取代共用金鑰，因此網路會驗證與裝置、使用者、SIM 卡或電信業者綁定的憑證。
WiFi Alliance Passpoint 安全指引 指出，Passpoint 需要 受保護的管理訊框 (Protected Management Frames)，這有助於防止管理訊框欺騙以及特定的取消驗證或冒充攻擊。它還指出第 2 層流量檢測、Proxy ARP、多播轉單播轉換以及群組金鑰隨機化等機制，皆能減少公共熱點上客戶端之間的暴露風險。
憑證的選擇仍會影響最終結果。EAP-TLS 可以為每台裝置提供憑證、進行雙向驗證，並允許針對特定憑證進行撤銷。基於 SIM 卡的 EAP 則將存取權與行動電信業者的憑證綁定。因此，安全性取決於憑證類型與後端設計，且熱點與提供者核心網路之間的後端傳輸（Backhaul）仍需要獲得保護。
這也是需要記住的局限之處。遺失且未保護的裝置仍可能持有有效設定檔，而脆弱的後端原則會浪費強大的身分驗證機制。自動存取改善了 WiFi 層，但無法取代良好的裝置控制或網路設計。為日常效能問題排解的場域仍需要基礎設定，這篇關於如何 改善視訊會議的 WiFi 指南很有用的提醒我們：身分驗證、涵蓋範圍與頻寬解決的是不同的問題。
Passpoint 如何在無需密碼提示的情況下進行連線
由於大部分的操作都在 關聯之前完成，因此連線體驗非常即時。您的裝置會詢問該網路為何、檢查是否已信任該提供者，然後才會進行加入與驗證。
下圖將相同的流程摘要為四個階段。
按順序排列的六個步驟
- 基地台信標：基地台會在信標中發布基本網路資訊。這能在相容裝置承諾連線之前，告知該裝置有更多詳細資訊可用。
- ANQP 查詢：裝置會傳送存取網路查詢通訊協定 (ANQP) 查詢，以了解電信業者身分、連線類型、漫遊合作夥伴和支援的服務。Cisco 在其 Hotspot 2.0 技術說明 中，將 ANQP 描述為網路功能的查詢與回應機制。
- 設定檔比較：裝置會將這些回覆與其已持有的預配置訂閱或憑證設定檔進行比較。這可防止裝置試錯連線至其無權使用的網路。
- 網路選擇：如果符合，裝置會在您無需選擇 SSID 的情況下，自動選擇符合條件的網路。如果沒有符合，裝置就不會虛構存取權限。
- EAP 驗證：裝置會執行企業級 EAP 方法，最常使用的是帶有裝置憑證的 EAP-TLS，或是帶有通道憑證的 EAP-TTLS。如果您正在權衡憑證驗證與基於密碼的方法，這篇 EAP-TLS 與 PEAP 驗證方法的比較 解釋了實際的權衡取捨。
- AAA 與 RADIUS 決策：存取網路會將請求轉發給原生 AAA 或 RADIUS 服務。該服務會決定是否允許該裝置以及其接收何種策略。
讀者經常忽略步驟之間的差異。ANQP 負責探索。AAA 負責權限。 ANQP 不會授予存取權限，而 RADIUS 也不會在附近的網路中進行選擇。兩者各自解決了一半的問題。
下方短片以視覺化方式呈現連線流程；如果您覺得訊標、查詢與身份驗證聽起來仍像是同一件事，這將有所幫助。
常見疏忽：沒有有效設定檔的裝置，不能僅因為無線基地台支援就使用 Passpoint。它會退回使用一般的 WiFi，並要求提供憑證、入口網站登入或共用密碼。
您無需進行封包擷取即可驗證結果。只需在裝置的 WiFi 設定中尋找已儲存的提供者設定檔，然後離開並重新返回。正常的 Passpoint 連線將會自動重新連線，且不會先跳出入口頁面。
裝置如何取得 Passpoint 設定檔
自動加入始於一次性佈署步驟。裝置需要先取得設定檔或身分識別，才能識別參與的網路、比對該網路廣播的內容並出示正確的憑證。
該設定檔是整個系統中最關鍵的輸入項。沒有它，裝置就沒有可比對的內容、沒有可選擇的受信任提供者，也沒有可傳送的憑證。有了它，同一份註冊資訊就能在日後造訪時重複使用，而無需在登入頁面重新開始。
配置途徑比較
| 途徑 | 憑證 | 適用場景 |
|---|---|---|
| 線上註冊 | 在註冊期間於裝置上建立帳戶 | 無 SIM 卡的裝置，Release 2 導覽啟用 |
| 基於 SIM 卡的 EAP | 行動電信業者 SIM 卡憑證 | 電信業者流量分流 |
| EAP-TLS 憑證 | 由供應商發行的裝置憑證 | 具備針對性撤銷功能的企業身分識別 |
| OpenRoaming 身分識別 | 來自參與此計畫之身分提供者的身分識別 | 跨參與網路漫遊 |
| 手動供應商設定檔 | 裝置上的預配置設定檔 | 由 IT 直接安裝設定檔的受管裝置群與供應商主導的註冊 |
線上註冊起初對使用者的要求最多，但它解決了一個重要的缺口。它能讓沒有 SIM 卡的裝置自行註冊，因此筆記型電腦或平板電腦不會只因為沒有行動通訊方案而被排除在外。在完成第一次註冊後，後續的連線就不需要再次執行註冊流程。
以 SIM 卡為基礎的 EAP 將身分驗證工作移至其他地方。行動通訊業者的憑證已存在於手機中，這非常適合電信業者分流 - 服務提供者希望合資格的手持裝置能轉移至 WiFi，而無需發放密碼。場域端仍需具備相應的漫遊協議與後端路由設定。
EAP-TLS 憑證適合直接管理裝置的組織。供應商向裝置核發憑證，雙向身分驗證會檢查雙方，且若裝置遺失或停止使用，IT 人員可以撤銷該單一憑證。對於個人與工作混合使用的裝置，我們關於 場域網路 BYOD 註冊 的指南展示了註冊選擇如何影響支援與控制。
OpenRoaming 身份來自參與合作的身份提供者。使用者只需向該提供者註冊一次，接受該身份的網路即可在裝置到達時對其進行驗證。手動提供者設定檔在較小規模上遵循相同的邏輯，由提供者或 IT 團隊將設定安裝至裝置上。
在採用設定檔之前需要檢查的事項
裝置與作業系統的支援程度各不相同，因此在規劃部署之前，請先確認使用者實際使用的手機、筆記型電腦和平板電腦是否支援。如果員工使用的是較舊的機型，請勿僅在新款旗艦手機上進行測試。
您也可以檢查設定設定檔（Provisioning）是否成功。設定檔應會出現在 WiFi 設定中，且裝置應無需透過入口網站頁面即可重新連線。驗證後，RADIUS 授權屬性 可以將訪客、員工與受管理裝置分流至不同的網段，因此您選擇的路由不僅會影響連線過程，還會影響裝置最終進入的網路位置。
Passpoint、強制門戶與 OpenRoaming 之比較
先查看並排比較視圖，然後使用下方的附註進行解讀。
| Aspect | Passpoint | Captive portal | OpenRoaming |
|---|---|---|---|
| 裝置連線方式 | 根據廣播的網路資訊自動選擇 | 手動選擇網路，然後開啟網頁 | 透過啟用 OpenRoaming 的 Passpoint 設定檔自動連線 |
| 每次造訪皆需登入 | 否（存在有效憑證時） | 是，每次皆會顯示入口網頁 | 否，設定檔會自動重新連線 |
| 使用之憑證 | 憑證、SIM 卡憑證或預先配置的設定檔 | 訪客資料、優惠券、社群帳號登入或 SMS 驗證碼 | 來自合作身分提供者的身分資訊 |
| 加密技術 | 搭配 802.1X 的 WPA2-Enterprise 或 WPA3-Enterprise | 通常為開放或共享金鑰，視場地而定 | 承襲 Passpoint 的 WPA2-Enterprise 或 WPA3-Enterprise |
| 標準基礎 | IEEE 802.11u、IEEE 802.1X、Hotspot 2.0 | 廠商專屬的網頁驗證 | 基於 Passpoint，由無線寬頻聯盟 (Wireless Broadband Alliance) 管理 |
| 典型適用場地 | 電信業者、機場、大型場館 | 咖啡廳、飯店、大多數公共 WiFi | 已註冊使用者在合作網路間漫遊 |
如何解讀差異
- 強制入口： 使用者手動連線，接著網頁會在每次造訪時攔截他們，以收集詳細資料、優惠券或條款同意書。
- Passpoint： 只要有設定檔存在，裝置就會使用企業級身分驗證與加密進行自動連線。
- OpenRoaming： 這是建立在 Passpoint 之上的身分驗證架構，因此擴展了參與網路所能接受的憑證範圍。我們針對場域的 OpenRoaming WiFi 解說文章說明了該聯盟合作在實務上如何運作。
這些選項彼此互補而非競爭。舉例來說，飯店可以對首次入住且無設定檔的房客使用強制入口，接著提供設定檔註冊，讓同一位房客在明天自動重新連線。若電信業者的客戶其 SIM 卡憑證與漫遊協議已經符合需求，則可以完全跳過入口網站。
採用趨勢正朝向該聯邦模型發展。Telecoms.com 報導的 Wireless Broadband Alliance 調查 發現，在 2024 年，全球受訪的 180 位 WiFi 產業高階主管中，有 81% 的人表示他們計劃在 2025 年或 2026 年部署 OpenRoaming。請將此視為一項採用訊號，而非代表每個場域現在都應該加入聯邦的證明。
抵達測試：如果每次造訪都出現登入頁面，您看到的就是入口網站。如果裝置透過已註冊的設定檔靜默連線，您看到的就是 Passpoint，其背後可能搭配了 OpenRoaming。
這個簡單的測試可以避免在與廠商對話時產生許多困惑。請詢問裝置出示了什麼憑證，而不僅僅是體驗是否順暢。已記住的共用密碼也可以自動重新連線，但那並不是基於身分識別的存取控管。
Passpoint 的部署位置及其無法實現的功能
Passpoint 很早就離開了實驗室。WiFi 聯盟部署公告 指出，第一個支援 Passpoint 的機場 WiFi 網路已於 2013 年 9 月實施，隨後部署的地點包括倫敦特拉法加廣場、紐奧良路易阿姆斯壯機場和加州約翰韋恩機場。
在一項與早期 Passpoint 計畫相關的 WiFi Alliance 調查中，84% 的受訪者對自動熱點偵測與驗證表示感興趣。在該早期階段，Alliance 報告指出大約有 75 個 Passpoint 客戶端裝置。隨後其描述 Passpoint 在大多數行動裝置中皆已啟用，並報告在中國覆蓋了 13,000 個據點，涵蓋餐廳、咖啡廳、超市與購物中心。
假設旅客在旅程前安裝了一個合規的設定檔。同台手機抵達機場後即可連線至機場網路，隨後又能連線至沿途的咖啡館，兩處都不需要透過登入頁面。這台手機並非記住了兩組 SSID 密碼，而是將每個廣播的網路與其設定檔中的身份及漫遊資訊進行比對。
需要糾正的四個迷思
- Passpoint 不等於 OpenRoaming： OpenRoaming 是建立在 Passpoint 之上的身分驗證架構。Passpoint 可以在單一供應商的環境中運作，而無需更廣泛的聯盟合作。
- 無法憑空運作： 自動連線前必須先存在已設定的設定檔。僅靠無線基地台支援是不夠的。
- 並非每支手機都支援： 裝置和作業系統支援程度各有不同。請確認預期的員工與訪客裝置，並為其餘裝置保留替代方案。
- 無法讓網路完全免於駭客攻擊： 它無法保護遭竊的裝置、無法修復漏洞百出的後端原則，也無法補償身分驗證後缺乏妥善分區的問題。
Passpoint 能證明身分並加密存取。它無法取代所有的強制入口、修復不良的網路設計，或是讓遺失的裝置變得安全。
最後一點對採購決策至關重要。顧客大多僅造訪一次的咖啡館，可能仍需要簡潔直觀的入口網站；而擁有許多回頭客與電信合作夥伴的機場，則能從自動漫遊中獲得更大的效益。最適合的方案取決於造訪者的回訪率、他們所持有的身分憑證，以及後端系統能執行的控制政策。
當您聽到廣泛宣稱的説法時，請使用一個經驗法則。詢問其是否明確指出憑證、加密方式與後端。如果無法明確指出這三者，您聽到的只是行銷標籤，而不是安全性設計。
評估 Passpoint 是否適合您的網路
在討論產品前，不妨先進行一項是否題測試。Passpoint 適合用於許多使用者再次造訪、裝置可保留設定檔、您需要基於身分的區隔化策略，且您的基地台支援該標準的狀況。如果多數答案為「是」，自動存取就能在不放棄個別裝置控制權的情況下，免去重複的操作。
對於偶爾造訪的訪客、不支援設定檔的裝置，以及沒有身分提供者的場域，強制入口仍然更加適合。這並不是劣勢。對於只需要十分鐘 WiFi 的單次訪客來說，清晰明瞭的入口網站會比他們永遠不會再次使用的註冊流程更為便利。
許多場所應該同時實施這兩者。為臨時訪客和首次註冊保留入口網站，然後讓再次造訪的賓客、員工或住戶使用設定檔。這並不是要為所有人做出選擇入口網站還是選擇 Passpoint 的決策，而是要決定哪種途徑適合各個群組。
在全面推廣前先在單一據點進行試行
請先從一個據點開始，放在您目前運行的網路旁邊，這樣在測試時就不會打擾現有使用者。Purple Access 讓客戶能夠先在一個據點驗證解決方案，方法是在該據點現有的無線基地台（AP）上同時部署開放式、安全性與 xPSK 網路，並在全面推廣前，透過支援工單與稽核證據來評估成果。
請根據可查驗的證據來評估該試點計畫。追蹤連線成功率、統計技術支援工單數量、審查身份驗證記錄，並在您控制的裝置上測試撤銷功能。如果已撤銷的設定檔仍能連線，或者工作人員無法識別驗證的身分，請在新增更多據點前先解決該問題。
您也可以參加 45 分鐘的設計會議，由 Purple 網路工程師將您的 SSID 規劃對應至您現有基地台上的開放、安全與 xPSK 網絡，且您可以保留該規劃方案。這能為您提供可供測試的具體架構設計，而非僅是順暢存取的抽象承諾。
本週的三項行動計畫
- 確認支援情況：檢查您的基地台與代表性使用者裝置上的 Passpoint 支援情況。
- 確認身分驗證路徑：決定您要提供電信業者設定檔、憑證、基於 SIM 卡的存取還是 OpenRoaming。
- 選擇一個試點據點：挑選一個擁有回訪使用者且支援需求可測量的據點，並在啟用任何功能之前定義成功標準。
如果回訪使用者每次造訪時仍面臨入口網站或共用密碼，Purple Access 可以協助您在現有的基地台上建立開放、安全且具備 xPSK 的網路，並在安全網路上提供 Passpoint 與 OpenRoaming。從 45 分鐘的設計會談開始，規劃您目前的 SSID、保留規劃方案，並在正式推廣前於單一據點試點成果。
