A partir del 27 de marzo de 2025, te recomendamos que uses android-latest-release en lugar de aosp-main para compilar y contribuir a AOSP. Para obtener más información, consulta Cambios en AOSP.

Se usó la API de Cloud Translation para traducir esta página.

Wi-Fi del proveedor

La función de Wi-Fi del operador es una función de conexión automática (que usa IMSI encriptado) disponible en Android 9 y versiones posteriores que permite que los dispositivos se conecten automáticamente a las redes Wi-Fi implementadas por el operador. En áreas de alta congestión o cobertura celular mínima, como en un estadio o en una estación de tren subterránea, el Wi-Fi del operador puede mejorar la experiencia de conectividad de los usuarios y aligerar el tráfico.

Los dispositivos con la función de Wi-Fi del operador se conectan automáticamente a las redes Wi-Fi del operador configuradas (redes con un certificado de clave pública). Cuando un usuario se desconecta manualmente de una red Wi-Fi de operador, la red se incluye en la lista de bloqueo durante 24 horas (no hay conexión automática). Los usuarios pueden conectarse manualmente a redes incluidas en la lista de bloqueo en cualquier momento.

Implementación

Los fabricantes de dispositivos y las empresas de telefonía celular deben hacer lo siguiente para implementar la función de Wi-Fi de la empresa de telefonía celular.

Fabricantes

En dispositivos que ejecutan Android 11 y versiones posteriores, usa la API de sugerencias de Wi-Fi para agregar perfiles de Wi-Fi para cada operador.

En el caso de los dispositivos con Android 10 o versiones anteriores, agrega perfiles de Wi-Fi configurando el parámetro carrier_wifi_string_array para cada operador en el administrador de configuración del operador.

carrier_wifi_string_array:

Es un array de cadenas en el que cada entrada de cadena es un SSID de Wi-Fi codificado en Base64 y un tipo de EAP separados por una coma, en el que el tipo de EAP es un número entero (consulta el Registro del Protocolo de autenticación extensible (EAP)). Por ejemplo, la siguiente configuración es para SOME_SSID_NAME con EAP-AKA y Some_Other_SSID con EAP-SIM:
```
config {
  key: "carrier_wifi_string_array"
  text_array {
    item: "U09NRV9TU0lEX05BTUUK,23"
    item: "U29tZV9PdGhlcl9TU0lECg==,18"
  }
}
```

En carrier config manager, configura los siguientes parámetros para cada operador:

imsi_key_availability_int:

Identifica si la clave que se usa para la encriptación del IMSI está disponible para WLAN (el bit 1 está establecido), EPDG (el bit 0 está establecido) o ambos (tanto el bit 0 como el bit 1 están establecidos). Por ejemplo, la siguiente configuración indica que la encriptación del IMSI está disponible para la WLAN, pero no para el EPDG:
```
config {
  key: "imsi_key_availability_int"
  int_value: 2
}
```
imsi_key_download_url_string:

Es la URL desde la que se descarga el .proto que contiene la clave pública del operador que se usa para la encriptación del IMSI. Por ejemplo, la siguiente configuración proporciona una URL específica:
```
config {
  key: "imsi_key_download_url_string"
  text_value: "https://www.some_company_name.com:5555/some_directory_name/some_filename.json"
}
```
allow_metered_network_for_cert_download_bool: Es una marca que indica si se permite la descarga de la clave pública del operador a través de una red de uso medido (celular). Si no se configura esta marca, un dispositivo nuevo sin conectividad Wi-Fi no podrá conectarse a la red Wi-Fi del operador porque no se le permitirá descargar la clave.
```
config {
  key: "allow_metered_network_for_cert_download_bool"
  bool_value: true
}
```

Operadores

Para implementar Wi-Fi de operador, el operador debe habilitar la protección de la privacidad del IMSI y proporcionar una clave pública.

Protección de la privacidad del IMSI

Android protege la confidencialidad de la identidad permanente (IMSI) de un suscriptor con criptografía de clave pública. Android implementa la especificación de Wireless Broadband Alliance (WBA) para la protección de la privacidad del IMSI para Wi-Fi. Cuando se habilita la protección de la privacidad del IMSI para una conexión, la identidad permanente del suscriptor no se transmite de forma no cifrada por el aire.

Encriptación de identidad permanente

El formato de la identidad permanente encriptada es el siguiente:

La identidad permanente tiene el formato <EAP-Method><IMSI>@<NAI realm>.
El prefijo de método EAP es un solo octeto que define el método EAP que se usa para la autenticación:
- 0: EAP-AKA
- 1: EAP-SIM
- 6: EAP-AKA'
El formato del dominio de NAI es wlan.mnc<var>XXX</var>.mcc<var>YYY</var>.3gppnetwork.org, donde XXX se reemplaza por el código de red móvil (MNC) de la tarjeta SIM y YYY se reemplaza por el código móvil de país (MCC).
La identidad permanente se encripta con una clave pública RSA proporcionada por el operador. La clave pública se incluye en un certificado X.509.
El esquema de encriptación es RSAES-OAEP con SHA-256 como la función hash criptográfica. Este esquema de encriptación garantiza un texto cifrado único cada vez que se usa el esquema, lo que evita otra identidad persistente que se pueda rastrear.
La longitud de la clave RSA es de 2,048 bits.
El búfer de encriptación es de 256 bytes.
El texto cifrado se codifica con Base64.
La longitud de la identidad permanente encriptada de salida es de 344 bytes.

Encrypted Permanent Identity = Base64(RSAES-OAEP-SHA-256(<EAP-Method><IMSI>@<NAI Realm>))

Identificador de clave

El identificador de clave es un par clave-valor de atributo opcional que el operador adjunta a un certificado para permitir que el servidor ubique la clave privada adecuada durante la autenticación. Un ejemplo de identificador de clave es CertificateSerialNumber=123456. Si se proporciona el identificador de clave, se envía sin cifrar como parte del proceso de autenticación.

Modificaciones en los métodos de autenticación EAP basados en SIM

Cuando la protección de la privacidad del IMSI está habilitada en una conexión, el sistema no envía la identidad permanente cuando recibe EAP-Request/Identity, sino que responde con un acceso anónimo:

SERVER: EAP-Request/Identity
UE: EAP-Response/Identity AT_IDENTITY=<prefix>|anonymous@<NAI Realm>

<prefix> es opcional. Si la configuración del operador de enable_eap_method_prefix_bool se establece en true, el primer carácter de la identidad (antes de anonymous) notifica al servidor sobre el tipo de método EAP que se usó antes de que comience el intercambio de EAP.

0: EAP-AKA
1: EAP-SIM
6: EAP-AKA'

Si la configuración de la empresa de transporte se establece en false, este prefijo no se incluye en el mensaje.

En respuesta, el servidor envía un mensaje EAP-Request/AKA-Identity y el sistema responde en el siguiente formato:

SERVER: EAP-Request/AKA-Identity AT_ANY_ID_REQ
UE: EAP-Response/AKA-Identity AT_IDENTITY=<prefix>|<Encrypted Permanent Identity>|","|"<attribute>=<value>"

El primer carácter de la identidad notifica al servidor si se usa una identidad encriptada o el tipo de método EAP que se configuró:

\0: Identidad permanente encriptada
0: EAP-AKA
1: EAP-SIM
6: EAP-AKA'

El par clave-valor del atributo del identificador de clave es opcional y no se agrega al final de la identidad permanente encriptada si no se usa.

En este punto, el servidor localiza la clave privada del identificador de clave (si se proporciona), desencripta la identidad encriptada con la clave privada del operador y continúa con el flujo normal del EAP.

Tras la autenticación exitosa, el servidor puede proporcionar una identidad de reautenticación rápida o una identidad temporal (seudónimo), que se usa en las conexiones posteriores. Si el servidor no proporciona identidades temporales, el sistema envía la identidad encriptada en la conexión posterior.

Recuperación, vencimiento y revocación de certificados de operador

Si no hay ningún certificado instalado en el sistema, este usa la URL proporcionada en la configuración del operador de imsi_key_download_url_string para descargar un certificado con el método HTTP GET. El sistema solo usa datos móviles si la configuración del operador allow_metered_network_for_cert_download_bool está establecida en true. De lo contrario, el sistema descargará el certificado solo cuando haya una conexión Wi-Fi disponible.

El sistema aplica el vencimiento del certificado. El sistema comienza a intentar renovar los certificados 21 días antes de la fecha de vencimiento y usa la misma URL para descargar el certificado nuevo.

Si el servidor no puede desencriptar la identidad encriptada, envía un mensaje EAP-Request/AKA-Notification con el código AT_NOTIFICATION General Failure (16384) para finalizar el intercambio de EAP.

Si el certificado se revoca o vence, el servidor envía un mensaje EAP-Request/AKA-Notification con el código AT_NOTIFICATIONCertificate Replacement Required (16385) para finalizar el intercambio de EAP. En respuesta, el sistema aplica heurísticas internas para determinar si debe quitar el certificado y tratar de descargar uno nuevo desde la misma URL.

Proporciona la clave pública

Proporciona una URL pública a un servidor, de preferencia con HTTP a través de TLS, que aloje el certificado de la empresa de telefonía celular, donde:

La clave pública y la fecha de vencimiento se pueden extraer del certificado.

La información del servidor se encuentra en formato JSON de la siguiente manera:

Property: key-identifier
Type: String
Encoding: UTF-8
Description: Specifies an identifier that the carrier would like to attach to the certificate.
Optional: Yes

Property: certificate
Property alternative name: public-key
Type: String
Encoding: Base64
Description: The content of the carrier's X.509 certificate.
Optional: No

Property: key-type
Type: String
Encoding: UTF-8
Description: Specifies the module that will use the key. The value for type must be either WLAN or EPDG.
Optional: Yes. If the key-type property isn't included, then its value defaults to WLAN.

A continuación, se muestra un ejemplo de una clave pública.

{
"carrier-keys" : [ {
  "key-identifier" : "CertificateSerialNumber=5xxe06d4",
  "public-key" : "-----BEGIN CERTIFICATE-----\r\nTIIDRTCCAi2gAwIBAgIEVR4G1DANBgkqhkiG9w0BAQsFADBTMQswCQYDVQQGEwJVUzELMAkGA1UE\r\nCBMCTkExCzAJBgNVBAcTAk5BMQswCQYDVQQKEwJOQTELMAkGA1UECxMCTkExEDAOBgNVBAMTB1Rl\r\nc3RiT6N1/w==\r\n-----END CERTIFICATE-----"
} ]
}