Punti chiave: Hotspot 2.0, Passpoint e NGH
- Onboarding Zero-Touch: Hotspot 2.0 (IEEE 802.11u) e Passpoint consentono ai dispositivi mobili di rilevare ed autenticarsi automaticamente su reti aziendali sicure senza schermate di benvenuto del Captive Portal o selezione manuale del SSID.
- Crittografia WPA3-Enterprise: Tutte le trasmissioni dei client sulle reti Passpoint sono crittografate utilizzando protocolli 802.1X (EAP-TLS, EAP-TTLS, EAP-SIM) e WPA2/WPA3-Enterprise, eliminando intercettazioni e spoofing da parte di access point non autorizzati.
- Rilevamento ANQP: L'Access Network Query Protocol (ANQP) interroga le funzionalità di rete, gli identificatori del consorzio di roaming e le relazioni con l'operatore di telefonia mobile prima che il dispositivo completi l'associazione.
- Offloading Cellulare dell'Operatore: Gli operatori di rete mobile trasferiscono automaticamente il traffico cellulare LTE e 5G congestionato sulle reti WiFi della struttura in ambienti ad alta densità come aeroporti, stadi e stazioni di transito.
- Architettura Ibrida: Le strutture combinano Passpoint per visite ripetute senza attriti con il Purple Captive Portal per l'adesione al marketing dei visitatori alla prima connessione e l'acquisizione dei dati demografici.
L'onboarding alle reti WiFi pubbliche ha storicamente presentato un compromesso fondamentale tra sicurezza e praticità. Le reti ospiti tradizionali si affidano a SSID aperti e non crittografati abbinati a captive portal basati sul web. Sebbene le splash page web acquisiscano il consenso al marketing, gli accessi manuali tramite browser creano attrito per l'utente, aumentano gli abbandoni della connessione e lasciano i pacchetti radio non autenticati vulnerabili all'intercettazione dei dati (packet sniffing) e agli attacchi man-in-the-middle.
Le architetture Hotspot 2.0, WiFi CERTIFIED Passpoint e Next Generation Hotspot (NGH) risolvono questo conflitto. Standardizzando il rilevamento della rete prima dell'associazione e l'autenticazione 802.1X basata su certificato, questi standard offrono un roaming simile a quello cellulare, in cui i dispositivi si connettono in modo sicuro e automatico non appena entrano nel raggio d'azione del segnale.
Che cos'è Hotspot 2.0, Passpoint e Next Generation Hotspot?
Sebbene vengano spesso utilizzati come sinonimi, Hotspot 2.0, Passpoint e NGH si riferiscono a livelli distinti dell'ecosistema tecnico:
- Hotspot 2.0 (IEEE 802.11u): l'emendamento del protocollo wireless di base pubblicato dall'IEEE. Definisce il modo in cui gli access point trasmettono i metadati di rete e il modo in cui i dispositivi client interrogano le funzionalità di rete a monte prima di stabilire un'associazione RF.
- Passpoint (WiFi CERTIFIED Passpoint): il programma di certificazione e test di interoperabilità gestito da WiFi Alliance. Passpoint standardizza la configurazione dei profili, l'autenticazione SIM e la convalida dei certificati tra i produttori di dispositivi (Apple iOS, Google Android, Windows) e i fornitori di access point aziendali (Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist).
- Next Generation Hotspot (NGH): un'iniziativa di settore sviluppata dalla Wireless Broadband Alliance (WBA) che definisce gli accordi di roaming commerciale, i framework di fatturazione degli operatori e gli scambi di identità federate, fungendo da base per le architetture OpenRoaming globali.
Come funziona il processo di connessione IEEE 802.11u e ANQP
Sulle reti WiFi legacy, un dispositivo non può determinare se una rete offre l'accesso a Internet o supporta le sue credenziali fino a quando non si associa e richiede un lease DHCP. Hotspot 2.0 risolve questa inefficienza utilizzando l'Access Network Query Protocol (ANQP) durante la fase di pre-associazione:
- Risposta a Beacon e Probe: Gli access point trasmettono frame beacon 802.11 contenenti un Interworking Element (IE) che indica la compatibilità Hotspot 2.0, la classificazione del gruppo di appartenenza della struttura e il tipo di accesso alla rete.
- Scambio di Query ANQP: Prima di associarsi, il client invia frame di richiesta Generic Advertisement Service (GAS) per interrogare l'AP riguardo agli identificatori organizzativi del consorzio di roaming (OI), agli elenchi di domini Network Access Identifier (NAI) e ai codici operatore cellulare 3GPP.
- Corrispondenza dei Profili: Il dispositivo confronta le funzionalità dell'AP con i profili Passpoint installati (tramite app mobili, MDM aziendali o profili della scheda SIM).
- Autenticazione 802.1X: Se viene trovata una corrispondenza, il dispositivo si associa ed esegue un handshake di autenticazione EAP (EAP-TLS con certificati client, EAP-TTLS con MSCHAPv2 o EAP-SIM/AKA utilizzando le credenziali della SIM cellulare).
- Tunneling Crittografato: Il server RADIUS convalida le credenziali e stabilisce chiavi di crittografia dinamiche individuali (CCMP/GCMP) tramite WPA2 o WPA3-Enterprise, garantendo la privacy dei dati end-to-end.
Confronto: Hotspot 2.0 / Passpoint vs Captive Portal vs OpenRoaming
Architettura di sicurezza: perché Passpoint elimina gli attacchi MITM
Le reti WiFi pubbliche aperte standard trasmettono i frame di dati in chiaro, consentendo l'intercettazione tramite l'acquisizione passiva dei pacchetti. Gli aggressori possono anche distribuire access point "Evil Twin" con SSID identici per intercettare credenziali di accesso e transazioni finanziarie.
Passpoint elimina queste vulnerabilità attraverso tre meccanismi di sicurezza:
- Validazione del certificato del server: il client convalida il certificato di identità del server rispetto alle Autorità di certificazione (CA) root attendibili, impedendo l'impersonificazione di AP non autorizzati.
- Autenticazione reciproca: i protocolli Enterprise EAP garantiscono che sia la rete che il client verifichino le identità prima di stabilire l'accesso alla rete.
- Crittografia individuale per singolo utente: le chiavi transitorie a coppie (PTK) crittografano ogni frame tra il client e l'access point, impedendo ad altri dispositivi connessi nella sede di intercettare il traffico di rete.
Offload dei vettori ed economia delle sedi ad alta densità
Le sedi ad alta densità come gli aeroporti internazionali (come Manchester Airports Group e AGS Airports), gli stadi sportivi e gli snodi di trasporto devono affrontare una forte congestione della rete cellulare. I segnali macro cellulari all'interno degli edifici faticano a penetrare i moderni materiali di costruzione, mentre la copertura a onde millimetriche 5G rimane localizzata.
Passpoint consente agli operatori di telefonia mobile di trasferire il traffico dati cellulare sull'infrastruttura WiFi aziendale esistente in modo trasparente. Quando l'abbonato di un operatore entra nella sede, il suo smartphone identifica l'OI del consorzio dell'operatore tramite ANQP e si autentica automaticamente utilizzando la scheda SIM del dispositivo. Questo riduce la congestione delle torri cellulari offrendo al contempo ai passeggeri una connessione dati ad alta velocità affidabile.
Strategia ibrida per le sedi: combinare Passpoint con i Captive Portal di Purple
Sebbene Passpoint offra una connettività senza attriti, i team di marketing e operativi delle sedi hanno comunque bisogno di informazioni dirette sui clienti, consensi di marketing e dati demografici dei visitatori. Le imprese moderne implementano un'architettura ibrida:
- Visitatori al primo accesso: si connettono tramite un Purple Captive Portal personalizzato con il brand, completando la registrazione, selezionando le preferenze di comunicazione e accettando i termini GDPR/CCPA.
- Configurazione Passpoint: al completamento del flusso del captive portal, la piattaforma Purple genera e installa un profilo di configurazione Passpoint sicuro sul dispositivo del visitatore.
- Visite successive: in tutte le visite di ritorno in qualsiasi sede della rete del brand, il dispositivo si connette automaticamente tramite Passpoint crittografato senza mostrare nuovamente le splash page.
- Telemetria e Analytics: la sede acquisisce dati completi su tempi di sosta, frequenza e spostamenti tra le zone tramite Purple WiFi Analytics, offrendo al contempo un'esperienza utente fluida.
Configurazione dei vendor di access point enterprise
Passpoint e Hotspot 2.0 possono essere abilitati sulle principali piattaforme hardware wireless aziendali che supportano lo standard IEEE 802.11u:
- Cisco Meraki e Catalyst: configurazione dei profili Hotspot 2.0 all'interno della Dashboard o del Catalyst WLC, assegnando i realm NAI, le reti cellulari 3GPP e gli endpoint di accounting RADIUS.
- HPE Aruba Networking: implementazione delle configurazioni Passpoint tramite Aruba Central o AirWave, specificando i Roaming Consortium Identifier e gli elementi ANQP Venue Name.
- Ruckus Wireless: abilitazione di Hotspot 2.0 all'interno dei controller SmartZone o ZoneDirector con mappatura automatizzata del server Online Signup (OSU).
- Juniper Mist: configurazione dei profili WLAN Passpoint basati su IA con autenticazione cloud RADIUS e gestione dei profili zero touch.
Domande frequenti
Che cos'è Hotspot 2.0 e come funziona?
Hotspot 2.0 (IEEE 802.11u) è uno standard wireless che consente ai dispositivi mobili di rilevare, interrogare e autenticarsi automaticamente con reti WiFi pubbliche e aziendali compatibili utilizzando query ANQP di pre-associazione, senza alcun intervento da parte dell'utente.
Qual è la differenza tra Hotspot 2.0 e Passpoint?
Hotspot 2.0 è lo standard tecnico alla base sviluppato da IEEE e WiFi Alliance, mentre Passpoint (WiFi CERTIFIED Passpoint) è il programma di certificazione ufficiale che garantisce l'interoperabilità tra diversi fornitori per un roaming crittografato e senza interruzioni (zero-touch).
In che modo Passpoint migliora la sicurezza della rete WiFi aziendale rispetto ai captive portal aperti?
A differenza dei captive portal aperti che trasmettono traffico non crittografato, Passpoint crittografa tutte le trasmissioni dei client utilizzando WPA2/WPA3-Enterprise (802.1X con EAP-TLS o EAP-TTLS), eliminando le intercettazioni man-in-the-middle e gli attacchi da AP non autorizzati (rogue AP).
Che cosa sono Next Generation Hotspot (NGH) e OpenRoaming?
Next Generation Hotspot (NGH) è l'iniziativa della Wireless Broadband Alliance che standardizza l'offload cellulare e il roaming WiFi continuo tra hub di trasporto globali, hotel e arene, costituendo la base delle moderne federazioni OpenRoaming.
Le strutture possono implementare Passpoint insieme al marketing tramite captive portal?
Sì. Le distribuzioni ibride utilizzano Hotspot 2.0/Passpoint per visite di ritorno istantanee e senza attriti e per l'onboarding del personale, indirizzando al contempo le prime connessioni degli ospiti attraverso un captive portal personalizzato per l'acquisizione dei dati e il consenso al marketing.
