Google berkomitmen untuk mendorong terwujudnya keadilan ras bagi komunitas Kulit Hitam. Lihat caranya.

Passpoint (Hotspot 2.0)

Passpoint adalah Wi-Fi Alliance (APK) protokol yang memungkinkan perangkat mobile untuk menemukan dan otentikasi ke Wi-Fi hotspot yang menyediakan akses internet.

Dukungan perangkat

Untuk mendukung Passpoint, produsen perangkat perlu untuk mengimplementasikan hardware/interfaces/wifi/supplicant/1.0 atau lebih tinggi. Wi-Fi HAL bahasa desain antarmuka (HIDL) disediakan dalam Proyek Open Source Android (AOSP) mendefinisikan HAL untuk pemohon. Pemohon memberikan dukungan untuk standar 802.11u, khususnya fitur penemuan dan pemilihan jaringan seperti Layanan Iklan Generik (GAS) dan protokol kueri jaringan akses (ANQP).

Penerapan

Android 11 atau lebih tinggi

Untuk mendukung Passpoint pada perangkat yang menjalankan Android 11 atau lebih tinggi, produsen perangkat perlu menyediakan dukungan firmware untuk 802.11u. Semua persyaratan lain untuk mendukung Passpoint termasuk dalam AOSP.

Android 10 atau lebih rendah

Untuk perangkat yang menjalankan Android 10 atau lebih rendah, produsen perangkat perlu menyediakan dukungan framework dan HAL/firmware:

  • Kerangka: Aktifkan Passpoint (memerlukan tanda fitur)
  • Firmware: Dukungan untuk 802.11u

Untuk mendukung Passpoint, terapkan Wi-Fi HAL dan aktifkan tanda fitur untuk Passpoint. Dalam device.mk terletak di device/<oem>/<device> , memodifikasi PRODUCT_COPY_FILES variabel lingkungan untuk menyertakan dukungan untuk fitur Passpoint:

PRODUCT_COPY_FILES +=
frameworks/native/data/etc/android.hardware.wifi.passpoint.xml:$(TARGET_COPY_OUT_VENDOR)/etc/permissions/android.hardware.wifi.passpoint.xml

Semua persyaratan lain untuk mendukung Passpoint termasuk dalam AOSP.

Validasi

Untuk memvalidasi penerapan fitur Passpoint, gunakan rangkaian pengujian unit dan pengujian integrasi yang disediakan di Android Comms Test Suite (ACTS).

Tes unit

Jalankan pengujian unit paket Passpoint berikut.

Tes layanan:

atest com.android.server.wifi.hotspot2

Tes manajer:

atest android.net.wifi.hotspot2

Tes integrasi (ACTS)

The ACTS test suite Passpoint, terletak di tools/test/connectivity/acts/tests/google/wifi/WifiPasspointTest.py , alat serangkaian tes fungsional.

Penyediaan Passpoint R1

Android telah mendukung Passpoint R1 sejak Android 6.0, memungkinkan penyediaan kredensial Passpoint R1 (rilis 1) melalui pengunduhan file khusus berbasis web yang berisi informasi profil dan kredensial. Klien secara otomatis meluncurkan penginstal khusus untuk informasi Wi-Fi dan memungkinkan pengguna untuk melihat bagian dari informasi sebelum menerima atau menolak konten.

Informasi profil yang terdapat dalam file digunakan untuk mencocokkan dengan data yang diambil dari titik akses yang diaktifkan Passpoint, dan kredensial secara otomatis diterapkan untuk jaringan yang cocok.

Implementasi referensi Android mendukung EAP-TTLS, EAP-TLS, EAP-SIM, EAP-AKA, dan EAP-AKA'.

Mekanisme unduh

File konfigurasi Passpoint harus di-host di server web dan harus dilindungi dengan TLS (HTTPS) karena mungkin berisi kata sandi teks yang jelas atau data kunci pribadi. Konten terdiri dari teks MIME multi bagian terbungkus yang diwakili dalam UTF-8 dan dikodekan dalam pengkodean base64 per RFC-2045 bagian 6.8.

Bidang header HTTP berikut digunakan oleh klien untuk meluncurkan penginstal Wi-Fi secara otomatis di perangkat:

  • Content-Type harus diatur ke application/x-wifi-config .
  • Content-Transfer-Encoding harus diatur ke base64 .
  • Content-Disposition tidak harus ditetapkan.

Metode HTTP yang digunakan untuk mengambil file harus GET. Setiap kali HTTP GET dari browser menerima respons dengan header MIME ini, aplikasi penginstalan dimulai. Unduhan harus dipicu dengan mengetuk elemen HTML seperti tombol (pengalihan otomatis ke URL unduhan tidak didukung). Perilaku ini khusus untuk Google Chrome; browser web lain mungkin atau mungkin tidak menyediakan fungsi serupa.

Komposisi file

The Base64 encoded konten harus terdiri dari konten multi MIME dengan Content-Type dari multipart/mixed . Bagian-bagian berikut membentuk bagian-bagian individual dari konten multi-bagian.

Bagian Content-Type (kurang tanda kutip) Yg dibutuhkan Keterangan
Profil application/x-passpoint-profile Selalu OMA-DM SyncML diformat payload yang berisi Passpoint R1 PerProviderSubscription diformat MO untuk HomeSP dan Credential .
Sertifikat kepercayaan application/x-x509-ca-cert Diperlukan untuk EAP-TLS dan EAP-TTLS Payload sertifikat dengan enkode base64 X.509v3 tunggal.
Kunci EAP-TLS application/x-pkcs12 Diperlukan untuk EAP-TLS Struktur PKCS #12 ASN.1 berenkode base64 yang berisi rantai sertifikat klien dengan setidaknya sertifikat klien dan kunci pribadi terkait. Wadah PKCS 12 serta kunci pribadi dan sertifikat semuanya harus dalam teks yang jelas tanpa kata sandi.

Profil Bagian harus ditransfer sebagai base64-encoded, teks XML UTF-8-encoded yang menentukan bagian dari HomeSP dan Credential sub pohon di Versi Passpoint R2 Spesifikasi Teknis 1.0.0, bagian 9.1.

The top-level node harus MgmtTree dan subnode segera harus PerProviderSubscription . Contoh file XML muncul dalam Contoh profil OMA-DM XML .

Node sub berikut digunakan di bawah HomeSP :

  • FriendlyName : Harus diatur; digunakan sebagai teks tampilan
  • FQDN : Diperlukan
  • RoamingConsortiumOI

Node sub berikut digunakan di bawah Credential :

  • Realm : Harus string tidak kosong
  • UsernamePassword : Diperlukan untuk EAP-TTLS dengan node berikut ditetapkan:

    • Username : String yang berisi username
    • Password : Base64-encoded string (set ke cGFzc3dvcmQ= , string base64-encoded untuk "password", pada contoh di bawah)
    • EAPMethod/EAPType : Harus diatur untuk 21
    • EAPMethod/InnerMethod : Harus diatur untuk salah satu dari PAP , CHAP , MS-CHAP , atau MS-CHAP-V2
  • DigitalCertificate : Diperlukan untuk EAP-TLS. Node berikut harus ditetapkan:

    • CertificateType diatur untuk x509v3
    • CertSHA256Fingerprint set untuk benar SHA-256 mencerna dari sertifikat klien dalam kunci bagian MIME EAP-TLS
  • SIM : Diperlukan untuk EAP-SIM, EAP-AKA, dan EAP-AKA'. The EAPType lapangan harus diatur dengan jenis EAP yang sesuai dan IMSI harus mencocokkan IMSI dari salah satu kartu SIM yang terpasang di perangkat pada saat pengadaan. String IMSI dapat seluruhnya terdiri dari digit desimal untuk memaksa pencocokan kesetaraan penuh, atau nol atau lebih digit desimal diikuti dengan tanda bintang (*) untuk mengendurkan pencocokan IMSI ke awalan saja. Misalnya, string IMSI 123* cocok dengan kartu SIM apa pun dengan IMSI yang dimulai dengan 123.

Android 11 memperkenalkan kemampuan yang membuat penyediaan Passpoint R1 lebih fleksibel.

Nama domain otentikasi, otorisasi, dan akuntansi (AAA) terpisah

Administrator jaringan Passpoint yang memerlukan nama domain AAA ditentukan secara independen dari nama domain berkualifikasi lengkap (FQDN) diiklankan oleh jaringan melalui Access Network Query Protocol (ANQP) dapat menentukan daftar koma-delimited dari FQDNs di node baru di bawah Extension subtree . Ini adalah node opsional dan perangkat yang menjalankan Android versi 10 atau lebih rendah mengabaikan node ini.

  • Android : Android ekstensi subtree

    • AAAServerTrustedNames : Diperlukan untuk server AAA dipercaya nama dengan node berikut ditetapkan:

      • FQDN : String yang berisi server AAA dipercaya nama. Gunakan titik koma untuk memisahkan nama tepercaya. Misalnya, example.org;example.com .
Root CA pribadi yang ditandatangani sendiri
Administrator jaringan Passpoint yang mengelola sertifikat mereka secara internal dapat menyediakan profil dengan CA pribadi yang ditandatangani sendiri untuk autentikasi AAA.
Izinkan pemasangan profil tanpa sertifikat CA Root
Sertifikat CA Root yang dilampirkan ke profil digunakan untuk otentikasi server AAA. Administrator jaringan Passpoint yang ingin mengandalkan Root CA tepercaya publik untuk autentikasi server AAA mereka dapat menyediakan profil tanpa sertifikat Root CA. Dalam hal ini, sistem memverifikasi sertifikat server AAA terhadap sertifikat CA Root publik yang diinstal di toko kepercayaan.

Penyediaan Passpoint R2

Android 10 memperkenalkan dukungan untuk fitur Passpoint R2. Passpoint R2 mengimplementasikan pendaftaran online (OSU), metode standar untuk menyediakan profil Passpoint baru. Android 10 dan yang lebih tinggi mendukung penyediaan profil EAP-TTLS menggunakan protokol SOAP-XML melalui OSU ESS yang terbuka.

Fitur Passpoint R2 yang didukung yang didukung hanya memerlukan kode referensi AOSP tidak diperlukan driver atau dukungan firmware tambahan). Kode referensi AOSP juga menyertakan implementasi default Passpoint R2 UI di aplikasi Pengaturan.

Saat Android mendeteksi titik akses Passpoint R2, kerangka kerja Android:

  1. Menampilkan daftar penyedia layanan yang diiklankan oleh AP di pemilih Wi-Fi (selain menampilkan SSID).
  2. Meminta pengguna untuk mengetuk salah satu penyedia layanan untuk mengatur profil Passpoint.
  3. Memandu pengguna melalui alur penyiapan profil Passpoint.
  4. Menginstal profil Passpoint yang dihasilkan pada penyelesaian yang berhasil.
  5. Mengaitkan ke jaringan Passpoint menggunakan profil Passpoint yang baru disediakan.

Fitur Passpoint R3

Android 12 memperkenalkan fitur Passpoint R3 berikut yang meningkatkan pengalaman pengguna dan memungkinkan jaringan untuk mematuhi undang-undang setempat:

Syarat dan Ketentuan
Penerimaan syarat dan ketentuan secara hukum diperlukan di beberapa lokasi dan tempat untuk menyediakan akses jaringan. Fitur ini memungkinkan penyebaran jaringan untuk menggantikan portal tawanan yang tidak aman, yang menggunakan jaringan terbuka, dengan jaringan Passpoint yang aman. Pemberitahuan ditampilkan kepada pengguna ketika syarat dan ketentuan harus diterima.
URL informasi tempat
Memungkinkan operator jaringan dan tempat untuk memberikan informasi tambahan kepada pengguna, seperti peta tempat, direktori, promosi, dan kupon. Pemberitahuan ditampilkan kepada pengguna saat jaringan terhubung.

Fitur Passpoint lainnya

Android 11 memperkenalkan kemampuan Passpoint berikut yang meningkatkan pengalaman pengguna, penggunaan daya, dan fleksibilitas penerapan.

Penegakan dan pemberitahuan tanggal kedaluwarsa
Menerapkan tanggal kedaluwarsa pada profil memungkinkan kerangka kerja untuk menghindari koneksi otomatis ke titik akses dengan kredensial kedaluwarsa, yang pasti akan gagal. Ini mencegah penggunaan airtime, dan menghemat baterai dan bandwidth backend. Kerangka kerja menampilkan pemberitahuan kepada pengguna ketika jaringan yang cocok dengan profil mereka berada dalam jangkauan dan profil telah kedaluwarsa.
Beberapa profil dengan FQDN identik
Operator yang menyebarkan jaringan Passpoint dan menggunakan beberapa ID jaringan seluler tanah publik (PLMN) dapat menyediakan beberapa profil Passpoint dengan FQDN yang sama, satu untuk setiap ID PLMN, yang secara otomatis dicocokkan dengan kartu SIM yang dipasang dan digunakan untuk menghubungkan jaringan.

Android 12 memperkenalkan kemampuan Passpoint berikut yang meningkatkan pengalaman pengguna, penggunaan daya, dan fleksibilitas penerapan:

Awalan identitas yang didekorasi
Ketika otentikasi ke jaringan dengan hiasan prefix, prefix identitas dihiasi memungkinkan operator jaringan untuk memperbarui Network Access Identifier (NAI) untuk melakukan routing eksplisit melalui beberapa proxy dalam jaringan AAA (lihat RFC 7542 ). Android 12 alat fitur ini sesuai dengan spesifikasi WBA untuk ekstensi PPS-MO .
Penanganan segera deautentikasi
Mengizinkan operator jaringan memberi sinyal ke perangkat bahwa layanan tidak tersedia untuk kredensial yang digunakan untuk mengautentikasi ke jaringan selama durasi tertentu (ditentukan melalui penundaan waktu habis). Setelah menerima sinyal ini, perangkat tidak akan mencoba menyambung kembali ke jaringan dengan kredensial yang sama hingga setelah waktu tunda habis. Sebaliknya, perangkat yang tidak mendukung fitur ini mungkin mencoba menyambung kembali ke jaringan berulang kali saat layanan tidak tersedia.

Contoh profil XML OMA-DM PerProviderSubscription-MO

Profil dengan kredensial nama pengguna/sandi (EAP-TTLS)

Contoh berikut menunjukkan profil untuk jaringan dengan:

  • Jaringan nama ramah set untuk Example Network
  • FQDN set ke hotspot.example.net
  • OI konsorsium roaming (untuk roaming)
  • Credential dengan nama pengguna user , kata sandi password dikodekan dengan Base64, dan ranah set untuk example.net
  • Metode EAP set ke 21 (EAP-TTLS)
  • Tahap-2 metode dalam set ke MS-CHAP-V2
  • Alternatif AAA nama domain diatur untuk trusted.com dan trusted.net
<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>Example Network</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>hotspot.example.net</Value>
        </Node>
        <Node>
          <NodeName>RoamingConsortiumOI</NodeName>
          <Value>112233,445566</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>example.net</Value>
        </Node>
        <Node>
          <NodeName>UsernamePassword</NodeName>
          <Node>
            <NodeName>Username</NodeName>
            <Value>user</Value>
          </Node>
          <Node>
            <NodeName>Password</NodeName>
            <Value>cGFzc3dvcmQ=</Value>
          </Node>
          <Node>
            <NodeName>EAPMethod</NodeName>
            <Node>
              <NodeName>EAPType</NodeName>
              <Value>21</Value>
            </Node>
            <Node>
              <NodeName>InnerMethod</NodeName>
              <Value>MS-CHAP-V2</Value>
            </Node>
          </Node>
        </Node>
      </Node>
      <Node>
        <NodeName>Extension</NodeName>
        <Node>
            <NodeName>Android</NodeName>
            <Node>
                <NodeName>AAAServerTrustedNames</NodeName>
                <Node>
                    <NodeName>FQDN</NodeName>
                    <Value>trusted.com;trusted.net</Value>
                </Node>
            </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

Profil dengan kredensial sertifikat digital (EAP-TLS)

Contoh berikut menunjukkan profil untuk jaringan dengan:

  • Jaringan nama ramah set ke GlobalRoaming
  • FQDN set ke globalroaming.net
  • OI Konsorsium Roaming (untuk roaming)
  • Realm set ke users.globalroaming.net
  • Kredensial dengan sertifikat digital yang memiliki sidik jari tertentu
<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>GlobalRoaming</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>globalroaming.net</Value>
        </Node>
        <Node>
          <NodeName>RoamingConsortiumOI</NodeName>
          <Value>FFEEDDCC0,FFEEDDCC1,009999,008888</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>users.globalroaming.net</Value>
        </Node>
        <Node>
          <NodeName>DigitalCertificate</NodeName>
          <Node>
            <NodeName>CertificateType</NodeName>
            <Value>x509v3</Value>
          </Node>
          <Node>
            <NodeName>CertSHA256Fingerprint</NodeName>
            <Value>0ef08a3d2118700474ca51fa25dc5e6d3d63d779aaad8238b608a853761da533</Value>
          </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

Profil dengan kredensial SIM (EAP-AKA)

Contoh berikut menunjukkan profil untuk jaringan dengan:

  • Jaringan nama ramah set ke Purple Passpoint
  • FQDN set ke wlan.mnc888.mcc999.3gppnetwork.org
  • Credential SIM dengan PLMN ID dari 999888
  • Metode EAP set ke 23 (EAP-AKA)
<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>Purple Passpoint</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>purplewifi.com</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>wlan.mnc888.mcc999.3gppnetwork.org</Value>
        </Node>
        <Node>
          <NodeName>SIM</NodeName>
          <Node>
            <NodeName>IMSI</NodeName>
            <Value>999888*</Value>
          </Node>
          <Node>
            <NodeName>EAPType</NodeName>
            <Value>23</Value>
          </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

Penasihat autentik

Perangkat yang menjalankan Android 8.x atau Android 9 dengan profil Passpoint R1 EAP-SIM, EAP-AKA, atau EAP-AKA tidak akan terhubung otomatis ke jaringan Passpoint. Masalah ini memengaruhi pengguna, operator, dan layanan dengan mengurangi offload Wi-Fi.

Segmen Dampak Ukuran dampak
Operator dan penyedia layanan Passpoint Peningkatan beban pada jaringan seluler. Setiap operator menggunakan Passpoint R1.
Pengguna Kesempatan yang hilang untuk terhubung secara otomatis ke titik akses (AP) Wi-Fi Operator, mengakibatkan biaya data yang lebih tinggi. Setiap pengguna dengan perangkat yang berjalan di jaringan operator yang mendukung Passpoint R1.

Penyebab kegagalan

Passpoint menentukan mekanisme untuk mencocokkan penyedia layanan yang diiklankan (ANQP) dengan profil yang diinstal pada perangkat. Aturan pencocokan berikut untuk EAP-SIM, EAP-AKA, dan EAP-AKA' adalah kumpulan sebagian aturan yang berfokus pada kegagalan EAP-SIM/AKA/AKA':

If the FQDN (Fully Qualified Domain Name) matches
    then the service is a Home Service Provider.
Else: If the PLMN ID (3GPP Network) matches
    then the service is a Roaming Service Provider.

Kriteria kedua telah dimodifikasi di Android 8.0:

Else: If the PLMN ID (3GPP Network) matches AND the NAI Realm matches
    then the service is a Roaming Service Provider.

Dengan modifikasi ini, sistem mengamati tidak ada kecocokan untuk penyedia layanan yang bekerja sebelumnya, sehingga perangkat Passpoint tidak terhubung secara otomatis.

Solusi

Untuk mengatasi masalah kriteria pencocokan yang dimodifikasi, operator dan penyedia layanan perlu menambahkan ranah network access identifier (NAI) ke informasi yang diterbitkan oleh Passpoint AP.

Solusi yang disarankan adalah bagi penyedia layanan jaringan untuk menerapkan solusi sisi jaringan untuk waktu penyebaran tercepat. Solusi sisi perangkat bergantung pada OEM yang mengambil daftar perubahan (CL) dari AOSP dan kemudian memperbarui perangkat di lapangan.

Perbaikan jaringan untuk operator dan penyedia layanan Passpoint

Solusi sisi jaringan memerlukan konfigurasi ulang jaringan untuk menambahkan elemen ANQP ranah NAI seperti yang ditentukan di bawah ini. Spesifikasi Passpoint tidak memerlukan elemen ANQP ranah NAI, tetapi penambahan properti ini sesuai dengan spesifikasi Passpoint, sehingga implementasi klien yang sesuai spesifikasi tidak boleh rusak.

  1. Tambahkan elemen ANQP ranah NAI.
  2. Mengatur NAI ranah subbidang untuk mencocokkan Realm dari profil diinstal pada perangkat.
  3. Tetapkan informasi berikut berdasarkan setiap jenis EAP:

    • EAP-TTLS: Set EAPMethod(21) dan didukung dalam jenis auth ( PAP , CHAP , MS-CHAP , atau MS-CHAP-V2 )
    • EAP-TLS: Set EAPMethod(13)
    • EAP-SIM: Set EAPMethod(18)
    • EAP-AKA: Set EAPMethod(23)
    • EAP-AKA ': Set EAPMethod(50)

Perbaikan perangkat/AOSP untuk OEM

Untuk menerapkan solusi perangkat-side, OEM perlu memilih patch CL AOSP / 718.508 . Patch ini dapat diterapkan di atas rilis berikut (tidak berlaku untuk Android 10 atau lebih tinggi):

  • Android 9
  • Android 8.x

Saat tambalan diambil, OEM perlu memperbarui perangkat di lapangan.