Hotspot 2.0, Passpoint und NGH erklärt: WiFi Handbuch

Das Onboarding in öffentlichen WiFi Netzwerken stellte bisher einen grundlegenden Kompromiss zwischen Sicherheit und Komfort dar. Traditionelle Gastnetzwerke basieren auf offenen, unverschlüsselten SSIDs in Kombination mit webbasierten Captive Portals. Während Web-Splash-Pages die Marketing-Zustimmung erfassen, führen manuelle Browser-Logins zu Reibungsverlusten beim Nutzer, erhöhen die Absprungraten bei der Verbindung und lassen unauthentifizierte Funkrahmen anfällig für Packet Sniffing und Man-in-the-Middle-Angriffe.

Hotspot 2.0-, WiFi CERTIFIED Passpoint- und Next Generation Hotspot-Architekturen (NGH) lösen diesen Konflikt. Durch die Standardisierung der Netzwerkerkennung vor der Zuordnung und der zertifikatsbasierten 802.1X-Authentifizierung bieten diese Standards ein Roaming wie im Mobilfunknetz, bei dem sich Geräte sicher und automatisch verbinden, sobald sie in Reichweite des Signals sind.

Was sind Hotspot 2.0, Passpoint und Next Generation Hotspot?

Obwohl die Begriffe Hotspot 2.0, Passpoint und NGH häufig synonym verwendet werden, beziehen sie sich auf unterschiedliche Ebenen des technischen Ökosystems:

• Hotspot 2.0 (IEEE 802.11u): Die grundlegende Ergänzung des Wireless-Protokolls, die von der IEEE veröffentlicht wurde. Sie definiert, wie Access Points Netzwerk-Metadaten übertragen und wie Client-Geräte die vorgelagerten Netzwerkkapazitäten abfragen, bevor sie eine HF-Assoziierung herstellen.
• Passpoint (WiFi CERTIFIED Passpoint): Das von der WiFi Alliance verwaltete Interoperabilitätsprüf- und Zertifizierungsprogramm. Passpoint standardisiert die Profilbereitstellung, die SIM-Authentifizierung und die Zertifikatsvalidierung über Gerätehersteller (Apple iOS, Google Android, Windows) und Enterprise Access Point-Hersteller (Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist) hinweg.
• Next Generation Hotspot (NGH): Eine Brancheninitiative der Wireless Broadband Alliance (WBA), die kommerzielle Roaming-Vereinbarungen, Abrechnungsmodelle für Betreiber und föderierte Identitätsaustausche definiert und als Grundlage für globale OpenRoaming-Architekturen dient.

Wie der IEEE 802.11u- und ANQP-Verbindungsprozess funktioniert

In älteren WiFi Netzwerken kann ein Gerät erst nach der Zuordnung und der Anforderung eines DHCP-Lease feststellen, ob ein Netzwerk Internetzugang bietet oder seine Anmeldedaten unterstützt. Hotspot 2.0 löst diese Ineffizienz durch die Verwendung des Access Network Query Protocol (ANQP) während der Pre-Association:

1. Beacon- und Probe-Antwort: Access Points übertragen 802.11-Beacon-Frames, die ein Interworking Element (IE) enthalten, das die Hotspot 2.0-Fähigkeit, die Klassifizierung der Veranstaltungsort-Gruppe und den Netzwerkzugriffstyp angibt.
2. ANQP-Abfrageaustausch: Vor der Zuordnung sendet der Client GAS-Anforderungsframes (Generic Advertisement Service), um den AP nach Roaming Consortium Organization Identifiers (OIs), NAI-Realm-Listen (Network Access Identifier) und 3GPP-Mobilfunkbetreiber-Codes abzufragen.
3. Profilabgleich: Das Gerät gleicht die AP-Funktionen mit den installierten Passpoint-Profilen ab (installiert über mobile Apps, Enterprise MDM oder SIM-Kartenprofile).
4. 802.1X-Authentifizierung: Wenn eine Übereinstimmung gefunden wird, ordnet sich das Gerät zu und führt einen EAP-Authentifizierungs-Handshake durch (EAP-TLS mit Client-Zertifikaten, EAP-TTLS mit MSCHAPv2 oder EAP-SIM/AKA unter Verwendung von Mobilfunk-SIM-Anmeldedaten).
5. Verschlüsselter Tunnel: Der RADIUS-Server validiert die Anmeldedaten und erstellt individuelle dynamische Verschlüsselungsschlüssel (CCMP/GCMP) über WPA2 oder WPA3-Enterprise, was die End-to-End-Datensphäre gewährleistet.

Vergleich: Hotspot 2.0 / Passpoint vs Captive Portal vs OpenRoaming

Sicherheitsarchitektur: Warum Passpoint MITM-Angriffe eliminiert

Standardmäßige offene, öffentliche WiFi Netzwerke übertragen Datenframes im Klartext, was das Mitlesen durch passives Packet Capturing ermöglicht. Angreifer können auch "Evil Twin"-Access Points mit identischen SSIDs bereitstellen, um Anmeldedaten und Finanztransaktionen abzufangen.

Passpoint beseitigt diese Schwachstellen durch drei Sicherheitsmechanismen:

• Server-Zertifikatsvalidierung: Der Client validiert das Server-Identitätszertifikat anhand vertrauenswürdiger Root-Zertifizierungsstellen (CAs), was die Imitation durch betrügerische APs verhindert.
• Gegenseitige Authentifizierung: Enterprise EAP-Protokolle stellen sicher, dass sowohl das Netzwerk als auch der Client die Identitäten verifizieren, bevor der Netzwerkzugriff hergestellt wird.
• Individuelle Verschlüsselung pro Benutzer: Pairwise Transient Keys (PTK) verschlüsseln jeden Frame zwischen dem Client und dem Access Point, wodurch verhindert wird, dass andere verbundene Geräte am Standort den Netzwerkverkehr abfangen.

Carrier Offload und die Wirtschaftlichkeit an hochfrequentierten Standorten

Besucherstarke Standorte wie internationale Flughäfen (wie die Manchester Airports Group und AGS Airports), Sportstadien und Verkehrsknotenpunkte sind mit einer starken Überlastung der Mobilfunknetze konfrontiert. Mobilfunksignale aus dem Makrobereich dringen im Innenbereich nur schwer durch moderne Baumaterialien, während die 5G-Millimeterwellen-Abdeckung lokal begrenzt bleibt.

Passpoint ermöglicht es Mobilfunkbetreibern, Mobilfunkdaten nahtlos auf bestehende WiFi-Infrastrukturen von Unternehmen auszulagern. Sobald ein Abonnent des Mobilfunkanbieters den Standort betritt, identifiziert sein Smartphone die Konsortiums-OI des Betreibers über ANQP und authentifiziert sich automatisch mithilfe der SIM-Karte des Geräts. Dies verringert die Auslastung der Mobilfunkmasten und bietet den Fahrgästen gleichzeitig zuverlässige Highspeed-Datenverbindungen.

Hybride Standort-Strategie: Kombination von Passpoint mit Purple Captive Portals

Während Passpoint eine reibungslose Konnektivität bietet, benötigen Marketing- und Betriebsteams an Standorten weiterhin First-Party-Kunden-Insights, Marketing-Einwilligungen und Besucher-Demografien. Moderne Unternehmen implementieren eine hybride Architektur:

1. Erstmalige Besucher: Die Verbindung erfolgt über ein gebrandetes Purple Captive Portal, wo die Registrierung abgeschlossen, die Kommunikationspräferenzen ausgewählt und die GDPR/CCPA-Bedingungen akzeptiert werden.
2. Passpoint-Bereitstellung: Nach Abschluss des Captive Portal-Ablaufs generiert und installiert die Purple-Plattform ein sicheres Passpoint-Konfigurationsprofil auf dem Besuchergerät.
3. Zukünftige Besuche: Bei allen weiteren Besuchen an jedem Standort im Markennetzwerk verbindet sich das Gerät automatisch über verschlüsseltes Passpoint, ohne dass erneut Splash-Pages angezeigt werden.
4. Telemetrie & Analytics: Der Standort erfasst umfassende Daten zur Verweildauer, Häufigkeit und Zonenbewegung über Purple WiFi Analytics, während den Besuchern ein nahtloses Erlebnis geboten wird.

Konfiguration von Enterprise-Access-Point-Herstellern

Passpoint und Hotspot 2.0 können auf allen gängigen Enterprise-Wireless-Hardwareplattformen aktiviert werden, die IEEE 802.11u unterstützen:

• Cisco Meraki & Catalyst: Konfigurieren Sie Hotspot 2.0-Profile im Dashboard oder im Catalyst WLC und weisen Sie NAI-Realms, 3GPP-Mobilfunknetze und RADIUS-Accounting-Endpunkte zu.
• HPE Aruba Networking: Stellen Sie Passpoint-Konfigurationen über Aruba Central oder AirWave bereit, indem Sie Roaming Consortium-Kennungen und Venue Name ANQP-Elemente angeben.
• Ruckus Wireless: Aktivieren Sie Hotspot 2.0 in SmartZone- oder ZoneDirector-Controllern mit automatischer Zuordnung der Online-Anmeldeserver (OSU).
• Juniper Mist: Konfigurieren Sie KI-gestützte Passpoint WLAN-Profile mit Cloud-RADIUS-Authentifizierung und Zero-Touch-Profilverwaltung.

Häufig gestellte Fragen