Como o Passpoint (Hotspot 2.0) Transforma a Experiência de Wi-Fi de Convidados

Como o Passpoint Transforma a Experiência de Wi-Fi de Convidados Um Briefing Técnico da Purple — Aproximadamente 10 Minutos --- INTRODUÇÃO E CONTEXTO — aproximadamente 1 minuto Bem-vindo à série de Briefings Técnicos da Purple. Vou passar os próximos dez minutos a guiá-lo por algo que, francamente, já deveria ter substituído o Captive Portal há anos — o Passpoint, também conhecido como Hotspot 2.0. Se gere infraestruturas de Wi-Fi num grupo hoteleiro, numa rede de retalho, num estádio ou em qualquer local onde os convidados se ligam repetidamente, quase de certeza que já bateu contra a mesma parede: convidados a queixarem-se de ter de iniciar sessão todas as vezes, o seu suporte de TI a receber chamadas sobre Wi-Fi que "costumava funcionar" e uma perceção crescente de que a randomização de endereços MAC do iOS 14 e do Android 10 quebrou silenciosamente a sua lógica de reautenticação. O Passpoint é a resposta para todos esses problemas. Mas não é um interruptor mágico — é um protocolo devidamente concebido que requer uma implementação deliberada. Por isso, vamos a isso. --- MERGULHO TÉCNICO PROFUNDO — aproximadamente 5 minutos Vamos começar com o problema central que o Passpoint resolve, que os engenheiros chamam de problema de seleção de rede. No Wi-Fi tradicional, o seu dispositivo procura um SSID conhecido — um nome de rede — e, se reconhecer um, liga-se. Isso é simples, mas é frágil. Requer uma ligação prévia, não lhe diz nada sobre a postura de segurança da rede e não suporta roaming entre locais. Sempre que um convidado entra no seu hotel, o seu dispositivo tem de ser apontado manualmente para a sua rede, depois intercetado por um Captive Portal e, em seguida, autenticado através de um formulário web. Isso é fricção. E em 2026, a fricção é uma desvantagem competitiva. O Passpoint muda totalmente o paradigma. Em vez de procurar um nome de rede, o dispositivo procura uma rede que suporte as suas credenciais. Antes mesmo de tentar ligar-se, o dispositivo pergunta ao ponto de acesso: "Suporta o meu fornecedor de identidade?" Se a resposta for sim, a autenticação prossegue automaticamente. Sem página de login. Sem pedido de palavra-passe. Sem seleção manual. É o modelo de roaming celular, aplicado ao Wi-Fi. O mecanismo que torna isto possível chama-se Generic Advertisement Service — GAS — combinado com o Access Network Query Protocol, ou ANQP. Quando um ponto de acesso compatível com Passpoint transmite o seu beacon, inclui o que se chama um Interworking Element — essencialmente uma flag que diz "eu falo 802.11u", que é a emenda IEEE que sustenta tudo isto. O seu dispositivo vê essa flag, envia um pedido GAS e, dentro desse pedido, uma consulta ANQP pergunta: "Que Roaming Consortium Organisational Identifiers suporta?" O ponto de acesso responde. Se houver uma correspondência com um perfil já existente no dispositivo, inicia-se o handshake completo de autenticação WPA2 ou WPA3 Enterprise. Essa autenticação utiliza o IEEE 802.1X — o mesmo padrão de controlo de acesso baseado em portas utilizado em redes com fios empresariais — combinado com um método EAP. Os mais comuns são o EAP-TLS, que utiliza certificados; o EAP-TTLS, que encapsula o nome de utilizador e a palavra-passe de forma segura; e o EAP-SIM ou EAP-AKA para autenticação baseada no SIM da operadora móvel. O resultado é uma sessão mutuamente autenticada e totalmente encriptada. O dispositivo prova a sua identidade à rede e a rede prova a sua identidade ao dispositivo. Essa autenticação mútua é o que impede ataques de evil twin e ataques de man-in-the-middle que assolam ambientes de Wi-Fi abertos. Agora, um termo que ouvirá juntamente com o Passpoint é o OpenRoaming — a estrutura de federação da Wireless Broadband Alliance. Aqui está a distinção que importa: o Passpoint é o veículo. O OpenRoaming é o sistema de autoestradas. O Passpoint define como um dispositivo descobre e se autentica numa rede. O OpenRoaming define o ecossistema de confiança que permite a um fornecedor de identidade — por exemplo, a Google, a Samsung ou uma operadora móvel — e a um fornecedor de acesso — o seu hotel, o seu estádio, a sua rede de retalho — confiar nas credenciais um do outro sem um acordo bilateral entre cada par. O OpenRoaming utiliza um modelo PKI hub-and-spoke com túneis RadSec — que é RADIUS sobre TLS — para fazer o proxy de pedidos de autenticação em toda a federação. O Roaming Consortium OI principal para o OpenRoaming livre de liquidação é o 5A-03-BA. Também vai querer transmitir o OI legado da Cisco, 00-40-96, para compatibilidade com dispositivos mais antigos e perfis Samsung OneUI. Do ponto de vista da conformidade de segurança, o Passpoint é uma atualização significativa. O WPA3-Enterprise utiliza o modo de segurança de 192 bits e exige o forward secrecy — cada sessão utiliza chaves de encriptação únicas, pelo que comprometer uma sessão não expõe o tráfego histórico. Para organizações sujeitas ao PCI DSS — particularmente ambientes de retalho que processam pagamentos com cartão — ou obrigações do GDPR em torno de dados pessoais, a autenticação baseada em certificados do Passpoint significa que não está a recolher credenciais através de um formulário web, o que reduz substancialmente a sua área de superfície de manuseamento de dados. E depois há a randomização de endereços MAC. Os dispositivos iOS e Android modernos randomizam o seu endereço MAC por predefinição. Isto quebra os fluxos tradicionais de reautenticação do Captive Portal — o dispositivo parece novo em cada visita. O Passpoint é imune a isto. A autenticação é baseada em credenciais, não em MAC. O seu convidado recorrente liga-se perfeitamente em cada visita, independentemente do endereço MAC do seu dispositivo nesse dia. Isto também tem uma implicação significativa para as suas análises de Wi-Fi — se estiver a utilizar a plataforma de análise da Purple, a autenticação baseada em credenciais restaura a precisão dos seus dados de visitantes recorrentes. --- RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ARMADILHAS — aproximadamente 2 minutos Deixe-me dar-lhe o cenário prático de implementação. Os requisitos de infraestrutura são mais complexos do que um Captive Portal, mas estão perfeitamente ao alcance de qualquer organização que execute hardware de classe empresarial. Precisa de pontos de acesso certificados para Passpoint — a maioria dos APs empresariais da Cisco, Aruba, Ruckus e Ubiquiti suportam isto hoje. Precisa de um servidor RADIUS com suporte EAP, infraestrutura AAA para gestão de credenciais e, idealmente, um servidor OSU — Online Sign-Up — para provisionamento de perfis em self-service. O trabalho de configuração centra-se em quatro elementos: as suas definições ANQP, que definem o que o AP anuncia antes da associação; os seus Roaming Consortium OIs; as suas definições de NAI realm, que indicam aos dispositivos quais os métodos EAP que suporta; e as informações do seu local, que são utilizadas pelos dispositivos para apresentar contexto sobre a rede. A minha recomendação mais forte para a maioria dos locais é uma estratégia de dual SSID. Execute um SSID Passpoint para convidados recorrentes e utilizadores registados, e mantenha um SSID com Captive Portal para visitantes de primeira viagem. Utilize o Captive Portal como um funil de integração — apresente a opção de instalar um perfil Passpoint no final do fluxo de autenticação da primeira visita. Este modelo de integração progressiva dá-lhe o melhor de dois mundos: acesso fácil na primeira vez, visitas recorrentes contínuas. Agora, as armadilhas. A falha de implementação mais comum que vejo é tratar o Passpoint como um substituto direto para os portais cativos sem construir a jornada de integração. Se os convidados não souberem como instalar um perfil, ou se o fluxo OSU for confuso, a adoção estagna. Invista na experiência de provisionamento. A segunda armadilha é a gestão de certificados. Se estiver a utilizar EAP-TLS com certificados de dispositivo, precisa de um ciclo de vida de PKI robusto. Certificados expirados irão quebrar silenciosamente a autenticação para os dispositivos afetados — e o seu suporte técnico será o último a saber. Automatize a renovação de certificados e monitorize a expiração de forma proativa. Terceiro: não negligencie o suporte a dispositivos legados. O Passpoint requer o iOS 7 ou posterior, Android 6 ou posterior e Windows 10 ou posterior. Isto cobre a grande maioria dos dispositivos modernos, mas os dispositivos IoT e alguns hardwares corporativos mais antigos precisarão de caminhos de acesso alternativos. --- PERGUNTAS E RESPOSTAS RÁPIDAS — aproximadamente 1 minuto O Passpoint funciona com os pontos de acesso existentes? Se forem hardware de classe empresarial dos últimos cinco anos, quase de certeza que sim — verifique a certificação Wi-Fi Alliance Passpoint na folha de especificações. Ainda posso recolher dados de convidados com o Passpoint? Sim, mas o mecanismo muda. A recolha de dados acontece no momento do provisionamento do perfil — no fluxo OSU ou no registo baseado na aplicação — em vez de em cada início de sessão. Isto é, na verdade, mais compatível com o GDPR, uma vez que o consentimento é capturado uma vez, de forma explícita. E quanto aos locais que pretendem páginas de entrada personalizadas com a marca? As ligações Passpoint são invisíveis por design, pelo que as páginas de entrada tradicionais não se aplicam. No entanto, pode acionar notificações na aplicação ou mensagens push pós-ligação se tiver uma integração com uma aplicação de fidelização. Alguns operadores utilizam um modelo híbrido onde a primeira visita ainda passa por um portal com a marca antes do registo no Passpoint. O OpenRoaming é gratuito? O nível livre de liquidação do OpenRoaming, utilizando o OI 5A-03-BA, está disponível sem custos através da Wireless Broadband Alliance. Os níveis comerciais com funcionalidades de análise e monetização estão disponíveis através de membros da WBA. --- RESUMO E PRÓXIMOS PASSOS — aproximadamente 1 minuto Para resumir: o Passpoint não é uma tecnologia do futuro — é um protocolo maduro, baseado em normas, que já está implementado em grandes aeroportos, cadeias hoteleiras e estádios globalmente. A questão para a sua organização não é se deve adotá-lo, mas sim quando e como. Se gere um grupo hoteleiro, uma cadeia de retalho ou um grande local com visitantes recorrentes, o caso de ROI é claro: redução da carga de suporte técnico, melhoria da satisfação dos convidados, mitigação de riscos de conformidade e dados analíticos precisos que não são quebrados pela randomização de MAC. Os seus próximos passos são simples. Primeiro, audite o seu parque de APs atual para verificar a certificação Passpoint. Segundo, avalie a sua infraestrutura RADIUS e determine se precisa de um servidor OSU para provisionamento em self-service. Terceiro, desenhe a sua estratégia de dual SSID e a jornada de integração. E quarto, se estiver a considerar a federação OpenRoaming, contacte a Wireless Broadband Alliance ou um fornecedor de plataforma como a Purple, que pode tratar de toda a integração da federação por si. Este é o Briefing Técnico da Purple sobre Passpoint e Hotspot 2.0. Para obter o guia escrito completo, diagramas de arquitetura e exemplos práticos de implementação, visite purple.ai. Obrigado por ouvir.