Como o Passpoint (Hotspot 2.0) Transforma a Experiência de Wi-Fi para Visitantes

Como o Passpoint Transforma a Experiência de Wi-Fi para Visitantes Um Briefing Técnico da Purple — Aproximadamente 10 Minutos --- INTRODUÇÃO E CONTEXTO — aproximadamente 1 minuto Bem-vindo à série de Briefings Técnicos da Purple. Vou passar os próximos dez minutos guiando você por algo que, francamente, já deveria ter substituído o Captive Portal anos atrás — o Passpoint, também conhecido como Hotspot 2.0. Se você gerencia infraestrutura de Wi-Fi em um grupo hoteleiro, rede de varejo, estádio ou qualquer local onde os visitantes se conectam repetidamente, quase certamente já se deparou com a mesma barreira: visitantes reclamando de ter que fazer login todas as vezes, seu suporte de TI recebendo chamadas sobre um Wi-Fi que "costumava funcionar" e uma percepção crescente de que a randomização de endereços MAC do iOS 14 e do Android 10 quebrou silenciosamente sua lógica de autenticação recorrente. O Passpoint é a resposta para todos esses problemas. Mas não é um botão mágico — é um protocolo projetado adequadamente que exige uma implantação deliberada. Então, vamos ao que interessa. --- MERGULHO TÉCNICO PROFUNDO — aproximadamente 5 minutos Vamos começar com o problema central que o Passpoint resolve, que os engenheiros chamam de problema de seleção de rede. No Wi-Fi tradicional, seu dispositivo busca por um SSID conhecido — um nome de rede — e, se reconhecer um, se conecta. Isso é simples, mas é frágil. Exige uma conexão prévia, não diz nada sobre a postura de segurança da rede e não suporta roaming entre locais. Toda vez que um visitante entra no seu hotel, o dispositivo dele precisa ser apontado manualmente para a sua rede, depois interceptado por um Captive Portal e, em seguida, autenticado por meio de um formulário web. Isso é atrito. E, em 2026, o atrito é uma desvantagem competitiva. O Passpoint muda totalmente o paradigma. Em vez de procurar por um nome de rede, o dispositivo procura por uma rede que suporte suas credenciais. Antes mesmo de tentar se conectar, o dispositivo pergunta ao ponto de acesso: "Você suporta meu provedor de identidade?" Se a resposta for sim, a autenticação ocorre automaticamente. Sem página de login. Sem solicitação de senha. Sem seleção manual. É o modelo de roaming celular aplicado ao Wi-Fi. O mecanismo que torna isso possível é chamado de Generic Advertisement Service — GAS — combinado com o Access Network Query Protocol, ou ANQP. Quando um ponto de acesso habilitado para Passpoint transmite seu beacon, ele inclui o que é chamado de Interworking Element — essencialmente uma flag que diz "eu falo 802.11u", que é a emenda IEEE que serve de base para tudo isso. Seu dispositivo vê essa flag, envia uma solicitação GAS e, dentro dessa solicitação, uma consulta ANQP pergunta: "Quais Identificadores Organizacionais de Consórcio de Roaming você suporta?" O ponto de acesso responde. Se houver uma correspondência com um perfil já existente no dispositivo, o handshake completo de autenticação WPA2 ou WPA3 Enterprise é iniciado. Essa autenticação usa o IEEE 802.1X — o mesmo padrão de controle de acesso baseado em porta usado em redes cabeadas corporativas — combinado com um método EAP. Os mais comuns são o EAP-TLS, que usa certificados; o EAP-TTLS, que cria um túnel seguro para nome de usuário e senha; e o EAP-SIM ou EAP-AKA para autenticação baseada em SIM de operadoras móveis. O resultado é uma sessão mutuamente autenticada e totalmente criptografada. O dispositivo comprova sua identidade para a rede, e a rede comprova sua identidade para o dispositivo. Essa autenticação mútua é o que previne ataques de "evil twin" e de "man-in-the-middle" que assolam ambientes de Wi-Fi abertos. Agora, um termo que você ouvirá junto com o Passpoint é o OpenRoaming — a estrutura de federação da Wireless Broadband Alliance. Aqui está a distinção que importa: o Passpoint é o veículo. O OpenRoaming é o sistema de rodovias. O Passpoint define como um dispositivo descobre e se autentica em uma rede. O OpenRoaming define o ecossistema de confiança que permite que um provedor de identidade — por exemplo, Google, Samsung ou uma operadora móvel — e um provedor de acesso — seu hotel, seu estádio, sua propriedade de varejo — confiem nas credenciais um do outro sem a necessidade de um acordo bilateral entre cada parte. O OpenRoaming usa um modelo PKI de hub-and-spoke com túneis RadSec — que é RADIUS sobre TLS — para intermediar requisições de autenticação em toda a federação. O principal Roaming Consortium OI para OpenRoaming sem custos de liquidação é o 5A-03-BA. Você também vai querer transmitir o OI legado da Cisco, 00-40-96, para compatibilidade com dispositivos mais antigos e perfis Samsung OneUI. Do ponto de vista de conformidade de segurança, o Passpoint é uma atualização significativa. O WPA3-Enterprise usa o modo de segurança de 192 bits e exige sigilo de encaminhamento (forward secrecy) — cada sessão usa chaves de criptografia exclusivas, de modo que comprometer uma sessão não expõe o tráfego histórico. Para organizações sujeitas ao PCI DSS — particularmente ambientes de varejo que processam pagamentos com cartão — ou obrigações da GDPR em relação a dados pessoais, a autenticação baseada em certificado do Passpoint significa que você não está coletando credenciais por meio de um formulário web, o que reduz substancialmente a sua superfície de tratamento de dados. E há também a randomização de endereços MAC. Dispositivos modernos iOS e Android randomizam seu endereço MAC por padrão. Isso quebra os fluxos tradicionais de reautenticação de Captive Portal — o dispositivo parece novo a cada visita. O Passpoint é imune a isso. A autenticação é baseada em credenciais, não em MAC. Seu visitante recorrente se conecta perfeitamente a cada visita, independentemente de qual seja o endereço MAC do dispositivo naquele dia. Isso também tem uma implicação significativa para a sua análise de Wi-Fi — se você estiver usando a plataforma de analytics da Purple, a autenticação baseada em credenciais restaura a precisão dos dados de visitantes recorrentes. --- RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ARMADILHAS — aproximadamente 2 minutos Deixe-me apresentar o cenário prático de implantação. Os requisitos de infraestrutura são mais complexos do que um Captive Portal, mas estão totalmente ao alcance de qualquer organização que utilize hardware de classe empresarial. Você precisa de pontos de acesso certificados para Passpoint — a maioria dos APs corporativos da Cisco, Aruba, Ruckus e Ubiquiti já suporta isso hoje. Você precisa de um servidor RADIUS com suporte a EAP, infraestrutura AAA para gerenciamento de credenciais e, idealmente, um servidor OSU — Online Sign-Up — para provisionamento de perfil em autoatendimento. O trabalho de configuração se concentra em quatro elementos: suas configurações ANQP, que definem o que o AP anuncia antes da associação; seus OIs do Roaming Consortium; suas definições de domínio NAI, que informam aos dispositivos quais métodos EAP você suporta; e as informações do seu local, que são usadas pelos dispositivos para exibir o contexto sobre a rede. Minha recomendação mais forte para a maioria dos locais é uma estratégia de SSID duplo. Execute um SSID Passpoint para visitantes recorrentes e usuários cadastrados, e mantenha um SSID de Captive Portal para visitantes de primeira viagem. Use o Captive Portal como um funil de integração — apresente a opção de instalar um perfil Passpoint no final do fluxo de autenticação da primeira visita. Este modelo de integração progressiva oferece o melhor dos dois mundos: acesso inicial fácil e visitas de retorno integradas. Agora, as armadilhas. O erro de implantação mais comum que vejo é tratar o Passpoint como um substituto direto para Captive Portals sem construir a jornada de integração. Se os visitantes não souberem como instalar um perfil, ou se o fluxo do OSU for travado, a adoção estagna. Invista na experiência de provisionamento. A segunda armadilha é o gerenciamento de certificados. Se você estiver usando EAP-TLS com certificados de dispositivo, precisará de um ciclo de vida de PKI robusto. Certificados expirados interromperão silenciosamente a autenticação dos dispositivos afetados — e seu suporte técnico será o último a saber. Automatize a renovação de certificados e monitore a expiração de forma proativa. Terceiro: não negligencie o suporte a dispositivos legados. O Passpoint exige iOS 7 ou posterior, Android 6 ou posterior e Windows 10 ou posterior. Isso cobre a grande maioria dos dispositivos modernos, mas dispositivos IoT e alguns hardwares corporativos mais antigos precisarão de caminhos de acesso alternativos. --- PERGUNTAS E RESPOSTAS RÁPIDAS — aproximadamente 1 minuto O Passpoint funciona com pontos de acesso existentes? Se forem hardwares de classe empresarial dos últimos cinco anos, quase certamente sim — verifique a certificação Wi-Fi Alliance Passpoint na ficha técnica. Ainda posso coletar dados de visitantes com o Passpoint? Sim, mas o mecanismo muda. A coleta de dados ocorre no momento do provisionamento do perfil — no fluxo do OSU ou no cadastro baseado em aplicativo — e não a cada login. Isso é, na verdade, mais amigável ao GDPR, pois o consentimento é capturado uma única vez, de forma explícita.E quanto aos locais que desejam páginas de login personalizadas (splash pages)? As conexões Passpoint são invisíveis por design, portanto, as splash pages tradicionais não se aplicam. No entanto, você pode acionar notificações no aplicativo ou mensagens push pós-conexão se tiver uma integração com aplicativo de fidelidade. Alguns operadores usam um modelo híbrido onde a primeira visita ainda passa por um portal personalizado antes da adesão ao Passpoint. O OpenRoaming é gratuito para aderir? O nível livre de liquidação (settlement-free) do OpenRoaming, usando o OI 5A-03-BA, está disponível sem custo por meio da Wireless Broadband Alliance. Níveis comerciais com recursos de análise e monetização estão disponíveis por meio de membros da WBA. --- RESUMO E PRÓXIMOS PASSOS — aproximadamente 1 minuto Para resumir: o Passpoint não é uma tecnologia do futuro — é um protocolo maduro, baseado em padrões, que já está implantado em grandes aeroportos, redes de hotéis e estádios globalmente. A questão para a sua organização não é se deve adotá-lo, mas quando e como. Se você gerencia um grupo hoteleiro, uma rede de varejo ou um grande local com visitantes recorrentes, o caso de ROI é claro: redução da carga no suporte técnico, melhoria na satisfação dos hóspedes, mitigação de riscos de conformidade e dados analíticos precisos que não são corrompidos pela randomização de MAC. Seus próximos passos são simples. Primeiro, audite seu parque atual de APs para certificação Passpoint. Segundo, avalie sua infraestrutura RADIUS e determine se precisa de um servidor OSU para provisionamento de autoatendimento. Terceiro, projete sua estratégia de SSID duplo e a jornada de integração. E quarto, se estiver considerando a federação OpenRoaming, entre em contato com a Wireless Broadband Alliance ou com um provedor de plataforma como a Purple, que pode cuidar de toda a estrutura de federação para você. Este é o Briefing Técnico da Purple sobre Passpoint e Hotspot 2.0. Para obter o guia escrito completo, diagramas de arquitetura e exemplos práticos de implantação, visite purple.ai. Obrigado por ouvir.