Google berkomitmen untuk mendorong terwujudnya keadilan ras bagi komunitas Kulit Hitam. Lihat caranya.

Passpoint (Hotspot 2.0)

Passpoint adalah protokol Wi-Fi Alliance (WFA) yang memungkinkan perangkat seluler menemukan dan mengautentikasi ke hotspot Wi-Fi yang menyediakan akses internet.

Dukungan perangkat

Untuk mendukung Passpoint, produsen perangkat perlu mengimplementasikan hardware/interfaces/wifi/supplicant/1.0 atau yang lebih tinggi. Bahasa desain antarmuka HAL Wi-Fi (HIDL) yang disediakan dalam Proyek Sumber Terbuka Android (AOSP) mendefinisikan HAL untuk pemohon. Pemohon memberikan dukungan untuk standar 802.11u, khususnya fitur penemuan dan pemilihan jaringan seperti Layanan Iklan Generik (GAS) dan protokol kueri jaringan akses (ANQP).

Penerapan

Android 11 atau lebih tinggi

Untuk mendukung Passpoint pada perangkat yang menjalankan Android 11 atau lebih tinggi, produsen perangkat perlu memberikan dukungan firmware untuk 802.11u. Semua persyaratan lain untuk mendukung Passpoint termasuk dalam AOSP.

Android 10 atau lebih rendah

Untuk perangkat yang menjalankan Android 10 atau lebih rendah, produsen perangkat perlu menyediakan kerangka kerja dan dukungan HAL / firmware:

  • Kerangka Kerja: Aktifkan Passpoint (membutuhkan tanda fitur)
  • Firmware: Dukungan untuk 802.11u

Untuk mendukung Passpoint, terapkan Wi-Fi HAL dan aktifkan tanda fitur untuk Passpoint. Di device.mk terletak di device/<oem>/<device> , ubah variabel lingkungan PRODUCT_COPY_FILES untuk menyertakan dukungan untuk fitur Passpoint:

PRODUCT_COPY_FILES +=
frameworks/native/data/etc/android.hardware.wifi.passpoint.xml:$(TARGET_COPY_OUT_VENDOR)/etc/permissions/android.hardware.wifi.passpoint.xml

Semua persyaratan lain untuk mendukung Passpoint termasuk dalam AOSP.

Validasi

Untuk memvalidasi implementasi fitur Passpoint Anda, gunakan rangkaian pengujian unit dan pengujian integrasi yang disediakan di Android Comms Test Suite (ACTS).

Tes unit

Jalankan pengujian unit paket Passpoint berikut.

Tes layanan:

atest com.android.server.wifi.hotspot2

Tes manajer:

atest android.net.wifi.hotspot2

Tes integrasi (ACTS)

Rangkaian pengujian ACTS Passpoint, yang terletak di tools/test/connectivity/acts/tests/google/wifi/WifiPasspointTest.py , menerapkan serangkaian pengujian fungsional.

Penyediaan Passpoint R1

Android telah mendukung Passpoint R1 sejak Android 6.0, memungkinkan penyediaan kredensial Passpoint R1 (rilis 1) melalui pengunduhan berbasis web dari file khusus yang berisi informasi profil dan kredensial. Klien secara otomatis meluncurkan penginstal khusus untuk informasi Wi-Fi dan memungkinkan pengguna untuk melihat bagian informasi sebelum menerima atau menolak konten.

Informasi profil yang terdapat dalam file digunakan untuk mencocokkan dengan data yang diambil dari titik akses yang mendukung Passpoint, dan kredensial secara otomatis diterapkan untuk setiap jaringan yang cocok.

Implementasi referensi Android mendukung EAP-TTLS, EAP-TLS, EAP-SIM, EAP-AKA, dan EAP-AKA '.

Mekanisme pengunduhan

File konfigurasi Passpoint harus dihosting di server web dan harus dilindungi dengan TLS (HTTPS) karena mungkin berisi sandi teks biasa atau data kunci pribadi. Konten tersebut terdiri dari teks MIME multibagian yang direpresentasikan dalam UTF-8 dan dienkode dalam encoding base64 per RFC-2045 bagian 6.8.

Bidang header HTTP berikut digunakan oleh klien untuk secara otomatis meluncurkan penginstal Wi-Fi di perangkat:

  • Content-Type harus disetel ke application/x-wifi-config .
  • Content-Transfer-Encoding harus disetel ke base64 .
  • Content-Disposition tidak boleh disetel.

Metode HTTP yang digunakan untuk mengambil file harus GET. Setiap kali HTTP GET dari browser menerima respons dengan header MIME ini, aplikasi penginstalan akan dimulai. Unduhan harus dipicu dengan mengetuk elemen HTML seperti tombol (pengalihan otomatis ke URL unduhan tidak didukung). Perilaku ini khusus untuk Google Chrome; browser web lain mungkin atau mungkin tidak menyediakan fungsi serupa.

Komposisi file

Konten yang dikodekan Base64 harus terdiri dari konten multibagian MIME dengan Content-Type multipart/mixed . Bagian berikut merupakan bagian individual dari konten multibagian.

Bagian Jenis Konten (kutipan lebih sedikit) Yg dibutuhkan Deskripsi
Profil application/x-passpoint-profile Selalu Payload berformat OMA-DM SyncML berisi Passpoint R1 PerProviderSubscription diformat MO untuk HomeSP dan Credential .
Sertifikat kepercayaan application/x-x509-ca-cert Diperlukan untuk EAP-TLS dan EAP-TTLS Payload sertifikat berenkode base64 X.509v3 tunggal.
Kunci EAP-TLS application/x-pkcs12 Diperlukan untuk EAP-TLS Struktur PKCS # 12 ASN.1 berenkode base64 yang berisi rantai sertifikat klien dengan setidaknya sertifikat klien dan kunci pribadi terkait. Kontainer PKCS 12 serta kunci privat dan sertifikat semuanya harus dalam teks yang jelas tanpa kata sandi.

Bagian Profil harus ditransfer sebagai teks XML HomeSP dan HomeSP UTF-8 yang menentukan bagian subpohon HomeSP dan Credential dalam Spesifikasi Teknis Passpoint R2 Versi 1.0.0, bagian 9.1.

Node tingkat atas harus MgmtTree dan subnode langsungnya harus PerProviderSubscription . Contoh file XML muncul di Contoh profil OMA-DM XML .

Node subpohon berikut digunakan di bawah HomeSP :

  • FriendlyName : Harus disetel; digunakan sebagai teks tampilan
  • FQDN : Wajib
  • RoamingConsortiumOI

Node subpohon berikut digunakan di bawah Credential :

  • Realm : Harus berupa string tidak kosong
  • UsernamePassword : Diperlukan untuk EAP-TTLS dengan kumpulan node berikut:

    • Username : String yang berisi nama pengguna
    • Password : string cGFzc3dvcmQ= Base64 (disetel ke cGFzc3dvcmQ= , string cGFzc3dvcmQ= base64 untuk "sandi", pada contoh di bawah)
    • EAPMethod/EAPType : Harus disetel ke 21
    • EAPMethod/InnerMethod : Harus disetel ke salah satu dari PAP , CHAP , MS-CHAP , atau MS-CHAP-V2
  • DigitalCertificate : Diperlukan untuk EAP-TLS. Node berikut harus disetel:

    • CertificateType disetel ke x509v3
    • CertSHA256Fingerprint disetel ke intisari SHA-256 yang benar dari sertifikat klien di bagian MIME kunci EAP-TLS
  • SIM : Diperlukan untuk EAP-SIM, EAP-AKA, dan EAP-AKA '. Bidang EAPType harus disetel ke jenis EAP yang sesuai dan IMSI harus cocok dengan IMSI dari salah satu kartu SIM yang dipasang di perangkat pada saat penyediaan. String IMSI dapat terdiri seluruhnya dari digit desimal untuk memaksa pencocokan persamaan penuh, atau nol atau lebih digit desimal diikuti dengan tanda bintang (*) untuk melonggarkan pencocokan IMSI ke awalan saja. Misalnya, string IMSI 123 * cocok dengan semua kartu SIM dengan IMSI yang dimulai dengan 123.

Android 11 memperkenalkan kemampuan yang membuat penyediaan Passpoint R1 lebih fleksibel.

Nama domain otentikasi, otorisasi, dan akuntansi (AAA) terpisah

Administrator jaringan titik sandi yang memerlukan nama domain AAA yang ditentukan secara independen dari nama domain yang memenuhi syarat (FQDN) yang diiklankan oleh jaringan melalui Access Network Query Protocol (ANQP) dapat menentukan daftar FQDN yang dipisahkan titik koma di node baru di bawah subpohon Extension . Ini adalah node opsional dan perangkat yang menjalankan Android versi 10 atau lebih rendah mengabaikan node ini.

  • Android : subpohon ekstensi Android

    • AAAServerTrustedNames : Diperlukan untuk nama tepercaya server AAA dengan kumpulan node berikut:

      • FQDN : String yang berisi nama tepercaya server AAA. Gunakan titik koma untuk memisahkan nama tepercaya. Misalnya, example.org;example.com .
CA Root pribadi yang ditandatangani sendiri
Administrator jaringan titik sandi yang mengelola sertifikat mereka secara internal dapat menyediakan profil dengan CA pribadi yang ditandatangani sendiri untuk otentikasi AAA.
Izinkan penginstalan profil tanpa sertifikat CA Root
Sertifikat CA Root yang dilampirkan ke profil digunakan untuk otentikasi server AAA. Administrator jaringan titik sandi yang ingin mengandalkan CA Root tepercaya publik untuk autentikasi server AAA mereka dapat menyediakan profil tanpa sertifikat CA Root. Dalam kasus ini, sistem memverifikasi sertifikat server AAA terhadap sertifikat Root CA publik yang dipasang di penyimpanan kepercayaan.

Penyediaan Passpoint R2

Android 10 memperkenalkan dukungan untuk fitur Passpoint R2. Passpoint R2 mengimplementasikan pendaftaran online (OSU), metode standar untuk menyediakan profil Passpoint baru. Android 10 dan yang lebih tinggi mendukung penyediaan profil EAP-TTLS menggunakan protokol SOAP-XML melalui OSU ESS terbuka.

Fitur Passpoint R2 yang didukung hanya membutuhkan kode referensi AOSP, tidak diperlukan driver tambahan atau dukungan firmware). Kode referensi AOSP juga menyertakan implementasi default UI Passpoint R2 di aplikasi Pengaturan.

Saat Android mendeteksi titik akses Passpoint R2, kerangka kerja Android:

  1. Menampilkan daftar penyedia layanan yang diiklankan oleh AP di pemilih Wi-Fi (selain menampilkan SSID).
  2. Minta pengguna untuk mengetuk salah satu penyedia layanan untuk menyiapkan profil Passpoint.
  3. Membimbing pengguna melalui alur penyiapan profil Passpoint.
  4. Menginstal profil Passpoint yang dihasilkan pada penyelesaian yang berhasil.
  5. Mengaitkan ke jaringan Passpoint menggunakan profil Passpoint yang baru disediakan.

Fitur Passpoint lainnya

Android 11 memperkenalkan kemampuan Passpoint berikut yang meningkatkan pengalaman pengguna, penggunaan daya, dan fleksibilitas penerapan.

Pemberlakuan dan pemberitahuan tanggal kedaluwarsa
Menerapkan tanggal kedaluwarsa pada profil memungkinkan framework untuk menghindari koneksi otomatis ke titik akses dengan kredensial yang kedaluwarsa, yang pasti akan gagal. Ini mencegah penggunaan airtime, dan menghemat baterai dan bandwidth backend. Kerangka kerja menampilkan pemberitahuan kepada pengguna ketika jaringan yang cocok dengan profil mereka dalam jangkauan dan profil telah kedaluwarsa.
Beberapa profil dengan FQDN identik
Operator yang menyebarkan jaringan Passpoint dan menggunakan beberapa ID jaringan seluler darat publik (PLMN) dapat menyediakan beberapa profil Passpoint dengan FQDN yang sama, satu untuk setiap ID PLMN, yang secara otomatis dicocokkan dengan kartu SIM yang dipasang dan digunakan untuk menghubungkan jaringan.

Contoh profil XML OMA-DM PerProviderSubscription-MO

Profil dengan kredensial nama pengguna / sandi (EAP-TTLS)

Contoh berikut menunjukkan profil untuk jaringan dengan:

  • Nama ramah jaringan disetel ke Example Network
  • FQDN disetel ke hotspot.example.net
  • OI konsorsium roaming (untuk roaming)
  • Kredensial dengan nama user , sandi password dikodekan dengan Base64, dan bidang disetel ke example.net
  • Metode EAP disetel ke 21 (EAP-TTLS)
  • Metode dalam fase-2 diatur ke MS-CHAP-V2
  • Nama domain AAA alternatif ditetapkan ke trusted.com dan trusted.net
<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>Example Network</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>hotspot.example.net</Value>
        </Node>
        <Node>
          <NodeName>RoamingConsortiumOI</NodeName>
          <Value>112233,445566</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>example.net</Value>
        </Node>
        <Node>
          <NodeName>UsernamePassword</NodeName>
          <Node>
            <NodeName>Username</NodeName>
            <Value>user</Value>
          </Node>
          <Node>
            <NodeName>Password</NodeName>
            <Value>cGFzc3dvcmQ=</Value>
          </Node>
          <Node>
            <NodeName>EAPMethod</NodeName>
            <Node>
              <NodeName>EAPType</NodeName>
              <Value>21</Value>
            </Node>
            <Node>
              <NodeName>InnerMethod</NodeName>
              <Value>MS-CHAP-V2</Value>
            </Node>
          </Node>
        </Node>
      </Node>
      <Node>
        <NodeName>Extension</NodeName>
        <Node>
            <NodeName>Android</NodeName>
            <Node>
                <NodeName>AAAServerTrustedNames</NodeName>
                <Node>
                    <NodeName>FQDN</NodeName>
                    <Value>trusted.com;trusted.net</Value>
                </Node>
            </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

Profil dengan kredensial sertifikat digital (EAP-TLS)

Contoh berikut menunjukkan profil untuk jaringan dengan:

  • Nama ramah jaringan disetel ke GlobalRoaming
  • FQDN disetel ke globalroaming.net
  • Roaming Consortium OIs (untuk roaming)
  • users.globalroaming.net disetel ke users.globalroaming.net
  • Kredensial dengan sertifikat digital yang memiliki sidik jari yang ditentukan
<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>GlobalRoaming</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>globalroaming.net</Value>
        </Node>
        <Node>
          <NodeName>RoamingConsortiumOI</NodeName>
          <Value>FFEEDDCC0,FFEEDDCC1,009999,008888</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>users.globalroaming.net</Value>
        </Node>
        <Node>
          <NodeName>DigitalCertificate</NodeName>
          <Node>
            <NodeName>CertificateType</NodeName>
            <Value>x509v3</Value>
          </Node>
          <Node>
            <NodeName>CertSHA256Fingerprint</NodeName>
            <Value>0ef08a3d2118700474ca51fa25dc5e6d3d63d779aaad8238b608a853761da533</Value>
          </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

Profil dengan kredensial SIM (EAP-AKA)

Contoh berikut menunjukkan profil untuk jaringan dengan:

  • Nama ramah jaringan disetel ke Purple Passpoint
  • FQDN disetel ke wlan.mnc888.mcc999.3gppnetwork.org
  • Kredensial SIM dengan ID PLMN 999888
  • Metode EAP diatur ke 23 (EAP-AKA)
<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>Purple Passpoint</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>purplewifi.com</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>wlan.mnc888.mcc999.3gppnetwork.org</Value>
        </Node>
        <Node>
          <NodeName>SIM</NodeName>
          <Node>
            <NodeName>IMSI</NodeName>
            <Value>999888*</Value>
          </Node>
          <Node>
            <NodeName>EAPType</NodeName>
            <Value>23</Value>
          </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

Penasihat autentikasi

Perangkat yang menjalankan Android 8.x atau Android 9 dengan profil Passpoint R1 EAP-SIM, EAP-AKA, atau EAP-AKA tidak akan tersambung secara otomatis ke jaringan Passpoint. Masalah ini memengaruhi pengguna, operator, dan layanan dengan mengurangi pembongkaran Wi-Fi.

Segmen Dampak Ukuran dampak
Operator dan penyedia layanan Passpoint Peningkatan beban pada jaringan seluler. Semua operator yang menggunakan Passpoint R1.
Pengguna Peluang yang terlewatkan untuk menyambung otomatis ke titik akses (AP) Wi-Fi Operator, mengakibatkan biaya data yang lebih tinggi. Semua pengguna dengan perangkat yang berjalan di jaringan operator yang mendukung Passpoint R1.

Penyebab kegagalan

Passpoint menentukan mekanisme untuk mencocokkan penyedia layanan yang diiklankan (ANQP) dengan profil yang diinstal di perangkat. Aturan pencocokan berikut untuk EAP-SIM, EAP-AKA, dan EAP-AKA 'adalah seperangkat aturan parsial yang berfokus pada kegagalan EAP-SIM / AKA / AKA':

If the FQDN (Fully Qualified Domain Name) matches
    then the service is a Home Service Provider.
Else: If the PLMN ID (3GPP Network) matches
    then the service is a Roaming Service Provider.

Kriteria kedua diubah di Android 8.0:

Else: If the PLMN ID (3GPP Network) matches AND the NAI Realm matches
    then the service is a Roaming Service Provider.

Dengan modifikasi ini, sistem mengamati tidak ada kecocokan untuk penyedia layanan yang sebelumnya berfungsi, sehingga perangkat Passpoint tidak terhubung secara otomatis.

Solusi

Untuk mengatasi masalah kriteria pencocokan yang dimodifikasi, operator dan penyedia layanan perlu menambahkan ranah pengenal akses jaringan (NAI) ke informasi yang diterbitkan oleh Passpoint AP.

Solusi yang disarankan adalah bagi penyedia layanan jaringan untuk menerapkan solusi sisi jaringan untuk waktu penerapan tercepat. Solusi sisi perangkat bergantung pada OEM yang mengambil daftar perubahan (CL) dari AOSP dan kemudian memperbarui perangkat di lapangan.

Perbaikan jaringan untuk operator dan penyedia layanan Passpoint

Solusi sisi jaringan memerlukan konfigurasi ulang jaringan untuk menambahkan elemen ANQP ranah NAI seperti yang ditentukan di bawah ini. Spesifikasi Passpoint tidak memerlukan elemen ANQP ranah NAI, tetapi penambahan properti ini sesuai dengan spesifikasi Passpoint, jadi implementasi klien yang sesuai dengan spesifikasi tidak boleh rusak.

  1. Tambahkan elemen ANQP ranah NAI.
  2. Setel subbidang NAI realm agar sesuai dengan Realm dari profil yang diinstal di perangkat.
  3. Tetapkan informasi berikut berdasarkan setiap jenis EAP:

    • EAP-TTLS: Setel EAPMethod(21) dan jenis EAPMethod(21) dalam yang didukung ( PAP , CHAP , MS-CHAP , atau MS-CHAP-V2 )
    • EAP-TLS: Setel EAPMethod(13)
    • EAP-SIM: Setel EAPMethod(18)
    • EAP-AKA: Setel EAPMethod(23)
    • EAP-AKA ': Setel EAPMethod(50)

Perbaikan perangkat / AOSP untuk OEM

Untuk mengimplementasikan solusi sisi perangkat, OEM perlu memilih patch CL aosp / 718508 . Patch ini dapat diterapkan di atas rilis berikut (tidak berlaku untuk Android 10 atau lebih tinggi):

  • Android 9
  • Android 8.x

Saat tambalan diambil, OEM perlu memperbarui perangkat di lapangan.