Point de passe (Point d'accès 2.0)

Passpoint est un protocole Wi-Fi Alliance (WFA) qui permet aux appareils mobiles de découvrir et de s'authentifier auprès des points d'accès Wi-Fi fournissant un accès à Internet.

Prise en charge des appareils

Pour prendre en charge Passpoint, les fabricants d'appareils doivent implémenter l'interface Supplicant. À partir d'Android 13, l'interface utilise AIDL pour la définition HAL. Pour les versions antérieures à Android 13, les interfaces et les partitions des fournisseurs utilisent HIDL. Les fichiers HIDL se trouvent dans hardware/interfaces/supplicant/1.x et les fichiers AIDL se trouvent dans hardware/interfaces/supplicant/aidl . Le demandeur prend en charge la norme 802.11u, en particulier les fonctionnalités de découverte et de sélection de réseau telles que le Generic Advertisement Service (GAS) et le protocole d'accès au réseau de requête (ANQP).

Mise en œuvre

Android 11 ou supérieur

Pour prendre en charge Passpoint sur les appareils exécutant Android 11 ou version ultérieure, les fabricants d'appareils doivent fournir la prise en charge du micrologiciel pour 802.11u. Toutes les autres exigences pour la prise en charge de Passpoint sont incluses dans AOSP.

Android 10 ou version antérieure

Pour les appareils fonctionnant sous Android 10 ou une version antérieure, les fabricants d'appareils doivent fournir à la fois une prise en charge du framework et du HAL/micrologiciel :

  • Framework : Activer Passpoint (nécessite un indicateur de fonctionnalité)
  • Micrologiciel : prise en charge de 802.11u

Pour prendre en charge Passpoint, implémentez le Wi-Fi HAL et activez l'indicateur de fonctionnalité pour Passpoint. Dans device.mk situé dans device/<oem>/<device> , modifiez la variable d'environnement PRODUCT_COPY_FILES pour inclure la prise en charge de la fonctionnalité Passpoint :

PRODUCT_COPY_FILES +=
frameworks/native/data/etc/android.hardware.wifi.passpoint.xml:$(TARGET_COPY_OUT_VENDOR)/etc/permissions/android.hardware.wifi.passpoint.xml

Toutes les autres exigences pour la prise en charge de Passpoint sont incluses dans AOSP.

Validation

Pour valider votre implémentation de la fonctionnalité Passpoint, utilisez l'ensemble de tests unitaires et de tests d'intégration fournis dans Android Comms Test Suite (ACTS).

Tests unitaires

Exécutez les tests unitaires du package Passpoint suivants.

Tests de service :

atest com.android.server.wifi.hotspot2

Tests du gestionnaire :

atest android.net.wifi.hotspot2

Tests d'intégration (ACTS)

La suite de tests ACTS Passpoint, située dans tools/test/connectivity/acts_tests/tests/google/wifi/WifiPasspointTest.py , implémente un ensemble de tests fonctionnels.

Approvisionnement du point de passe R1

Android prend en charge Passpoint R1 depuis Android 6.0, permettant la fourniture d'informations d'identification Passpoint R1 (version 1) via le téléchargement sur le Web d'un fichier spécial contenant des informations de profil et d'informations d'identification. Le client lance automatiquement un programme d'installation spécial pour les informations Wi-Fi et permet à l'utilisateur de visualiser certaines parties des informations avant d'accepter ou de refuser le contenu.

Les informations de profil contenues dans le fichier sont utilisées pour correspondre aux données récupérées à partir des points d'accès compatibles Passpoint, et les informations d'identification sont automatiquement appliquées à tout réseau correspondant.

L'implémentation de référence Android prend en charge EAP-TTLS, EAP-TLS, EAP-SIM, EAP-AKA et EAP-AKA'.

Mécanisme de téléchargement

Le fichier de configuration Passpoint doit être hébergé sur un serveur Web et doit être protégé par TLS (HTTPS) car il peut contenir un mot de passe en texte clair ou des données de clé privée. Le contenu est composé de texte MIME en plusieurs parties encapsulé, représenté en UTF-8 et codé en base64 conformément à la section 6.8 de la RFC-2045.

Les champs d'en-tête HTTP suivants sont utilisés par le client pour lancer automatiquement un programme d'installation Wi-Fi sur l'appareil :

  • Content-Type doit être défini sur application/x-wifi-config .
  • Content-Transfer-Encoding doit être défini sur base64 .
  • Content-Disposition ne doit pas être défini.

La méthode HTTP utilisée pour récupérer le fichier doit être GET. Chaque fois qu'un HTTP GET du navigateur reçoit une réponse avec ces en-têtes MIME, l'application d'installation est démarrée. Le téléchargement doit être déclenché en appuyant sur un élément HTML tel qu'un bouton (les redirections automatiques vers une URL de téléchargement ne sont pas prises en charge). Ce comportement est spécifique à Google Chrome ; d'autres navigateurs Web peuvent ou non fournir des fonctionnalités similaires.

Composition du fichier

Le contenu codé en Base64 doit être constitué d'un contenu multipart MIME avec un Content-Type de multipart/mixed . Les parties suivantes constituent les différentes parties du contenu en plusieurs parties.

Partie Type de contenu (moins les guillemets) Requis Description
Profil application/x-passpoint-profile Toujours Charge utile formatée OMA-DM SyncML contenant le MO formaté Passpoint R1 PerProviderSubscription pour HomeSP et Credential .
Certificat de confiance application/x-x509-ca-cert Requis pour EAP-TLS et EAP-TTLS Une seule charge utile de certificat codé en base64 X.509v3.
Clé EAP-TLS application/x-pkcs12 Requis pour EAP-TLS Une structure PKCS #12 ASN.1 codée en base64 contenant une chaîne de certificat client avec au moins le certificat client et la clé privée associée. Le conteneur PKCS 12 ainsi que la clé privée et les certificats doivent tous être en texte clair sans mot de passe.

La section Profil doit être transférée sous forme de texte XML codé en base64 et UTF-8 qui spécifie des parties des sous-arborescences HomeSP et Credential dans la spécification technique Passpoint R2 version 1.0.0, section 9.1.

Le nœud de niveau supérieur doit être MgmtTree et le sous-nœud immédiat doit être PerProviderSubscription . Un exemple de fichier XML apparaît dans Exemple de profil OMA-DM XML .

Les nœuds de sous-arbre suivants sont utilisés sous HomeSP :

  • FriendlyName : doit être défini ; utilisé comme texte d'affichage
  • FQDN : obligatoire
  • RoamingConsortiumOI

Les nœuds de sous-arborescence suivants sont utilisés sous Credential :

  • Realm : doit être une chaîne non vide
  • UsernamePassword : requis pour EAP-TTLS avec les nœuds suivants définis :

    • Username : Chaîne qui contient le nom d'utilisateur
    • Password : chaîne codée en base64 (définie sur cGFzc3dvcmQ= , la chaîne codée en base64 pour "mot de passe", dans l'exemple ci-dessous)
    • EAPMethod/EAPType : doit être défini sur 21
    • EAPMethod/InnerMethod : doit être défini sur PAP , CHAP , MS-CHAP ou MS-CHAP-V2
  • DigitalCertificate : requis pour EAP-TLS. Les nœuds suivants doivent être définis :

    • CertificateType défini sur x509v3
    • CertSHA256Fingerprint défini sur le résumé SHA-256 correct du certificat client dans la section MIME de la clé EAP-TLS
  • SIM : requis pour EAP-SIM, EAP-AKA et EAP-AKA'. Le champ EAPType doit être défini sur le type EAP approprié et IMSI doit correspondre à l'IMSI de l'une des cartes SIM installées dans l'appareil au moment de la configuration. La chaîne IMSI peut être composée entièrement de chiffres décimaux pour forcer une correspondance d'égalité complète, ou de 5 ou 6 chiffres décimaux suivis d'un astérisque (*) pour assouplir la correspondance IMSI avec MCC/MNC uniquement. Par exemple, la chaîne IMSI 123456* correspond à n'importe quelle carte SIM avec MCC 123 et MNC 456.

Android 11 introduit des fonctionnalités qui rendent le provisionnement de Passpoint R1 plus flexible.

Nom de domaine distinct d'authentification, d'autorisation et de comptabilité (AAA)

Les administrateurs réseau Passpoint qui nécessitent un nom de domaine AAA spécifié indépendamment du nom de domaine complet (FQDN) annoncé par le réseau via le protocole ANQP (Access Network Query Protocol) peuvent spécifier une liste de FQDN délimités par des points-virgules dans un nouveau nœud sous la sous-arborescence Extension . . Il s'agit d'un nœud facultatif et les appareils exécutant Android version 10 ou antérieure ignorent ce nœud.

  • Android : sous-arbre d'extension Android

    • AAAServerTrustedNames : requis pour les noms approuvés du serveur AAA avec les nœuds suivants définis :

      • FQDN : Chaîne qui contient les noms de confiance du serveur AAA. Utilisez des points-virgules pour séparer les noms de confiance. Par exemple, example.org;example.com .
CA racine privées auto-signées
Les administrateurs réseau Passpoint qui gèrent leurs certificats en interne peuvent fournir des profils avec une autorité de certification privée auto-signée pour l'authentification AAA.
Autoriser l'installation de profils sans certificat Root CA
Le certificat Root CA attaché au profil est utilisé pour l'authentification du serveur AAA. Les administrateurs réseau Passpoint qui souhaitent s'appuyer sur des autorités de certification racine de confiance publiques pour leur authentification de serveur AAA peuvent fournir des profils sans certificat d'autorité de certification racine. Dans ce cas, le système vérifie les certificats du serveur AAA par rapport aux certificats publics Root CA installés dans le magasin de confiance.

Approvisionnement du point de passe R2

Android 10 a introduit la prise en charge des fonctionnalités Passpoint R2. Passpoint R2 implémente l'inscription en ligne (OSU), une méthode standard pour provisionner de nouveaux profils Passpoint. Android 10 et versions ultérieures prennent en charge la fourniture de profils EAP-TTLS à l'aide du protocole SOAP-XML sur OSU ESS ouvert.

Les fonctionnalités Passpoint R2 prises en charge nécessitent uniquement un code de référence AOSP, aucune prise en charge de pilote ou de micrologiciel supplémentaire n'est requise). Le code de référence AOSP inclut également une implémentation par défaut de l'interface utilisateur Passpoint R2 dans l'application Paramètres.

Lorsqu'Android détecte un point d'accès Passpoint R2, le framework Android :

  1. Affiche une liste des fournisseurs de services annoncés par le point d'accès dans le sélecteur Wi-Fi (en plus d'afficher les SSID).
  2. Invite l'utilisateur à appuyer sur l'un des fournisseurs de services pour configurer un profil Passpoint.
  3. Guide l’utilisateur à travers le flux de configuration du profil Passpoint.
  4. Installe le profil Passpoint résultant en cas de réussite.
  5. S'associe au réseau Passpoint à l'aide du profil Passpoint nouvellement provisionné.

Fonctionnalités du point de passe R3

Android 12 introduit les fonctionnalités Passpoint R3 suivantes qui améliorent l'expérience utilisateur et permettent aux réseaux de se conformer aux lois locales :

Termes et conditions

L'acceptation des termes et conditions est légalement requise dans certains endroits et lieux pour fournir un accès au réseau. Cette fonctionnalité permet aux déploiements réseau de remplacer les portails captifs non sécurisés, qui utilisent des réseaux ouverts, par un réseau Passpoint sécurisé. Une notification est affichée à l'utilisateur lorsque les termes et conditions doivent être acceptés.

L’URL des conditions générales doit pointer vers un site Web sécurisé utilisant HTTPS. Si l'URL pointe vers un site Web non sécurisé, le framework déconnecte et bloque immédiatement le réseau.

URL des informations sur le lieu

Permet aux opérateurs de réseaux et aux sites de fournir des informations supplémentaires à l'utilisateur, telles que des plans des sites, des annuaires, des promotions et des coupons. Une notification est affichée à l'utilisateur lorsque le réseau est connecté.

L'URL des informations sur le lieu doit pointer vers un site Web sécurisé utilisant HTTPS. Si l'URL pointe vers un site Web non sécurisé, le framework ignore l'URL et n'affiche pas de notification.

Autres fonctionnalités du point de passe

Android 11 introduit les fonctionnalités Passpoint suivantes qui améliorent l'expérience utilisateur, la consommation d'énergie et la flexibilité de déploiement.

Application et notification de la date d’expiration
L'application des dates d'expiration sur les profils permet au framework d'éviter la connexion automatique aux points d'accès avec des informations d'identification expirées, qui sont vouées à l'échec. Cela évite l’utilisation du temps d’antenne et économise la batterie et la bande passante principale. Le framework affiche une notification à l'utilisateur lorsqu'un réseau correspondant à son profil est à portée et que le profil a expiré.
Plusieurs profils avec un FQDN identique
Les opérateurs qui déploient des réseaux Passpoint et utilisent plusieurs identifiants de réseau mobile terrestre public (PLMN) peuvent fournir plusieurs profils Passpoint avec le même nom de domaine complet, un pour chaque identifiant PLMN, qui est automatiquement mis en correspondance avec la carte SIM installée et utilisé pour connecter le réseau.

Android 12 introduit les fonctionnalités Passpoint suivantes qui améliorent l'expérience utilisateur, la consommation d'énergie et la flexibilité de déploiement :

Préfixe d'identité décoré
Lors de l'authentification sur des réseaux avec une décoration de préfixe, le préfixe d'identité décoré permet aux opérateurs de réseau de mettre à jour l'identifiant d'accès au réseau (NAI) pour effectuer un routage explicite via plusieurs proxys à l'intérieur d'un réseau AAA (voir RFC 7542 ). Android 12 implémente cette fonctionnalité selon la spécification WBA pour les extensions PPS-MO .
Traitement imminent de la désauthentification
Permet aux opérateurs réseau de signaler à un appareil que le service n'est pas disponible pour les informations d'identification utilisées pour s'authentifier sur le réseau pendant une certaine durée (spécifiée via un délai d'expiration). Après avoir reçu ce signal, les appareils ne tenteront de se reconnecter au réseau avec les mêmes informations d'identification qu'après l'expiration du délai d'attente. En revanche, les appareils qui ne prennent pas en charge cette fonctionnalité peuvent tenter de se reconnecter au réseau à plusieurs reprises lorsque le service n'est pas disponible.

Exemples de profils XML OMA-DM PerProviderSubscription-MO

Profil avec un identifiant de nom d'utilisateur/mot de passe (EAP-TTLS)

L'exemple suivant illustre un profil pour un réseau avec :

  • Nom convivial du réseau défini sur Example Network
  • FQDN défini sur hotspot.example.net
  • OI du consortium de roaming (pour le roaming)
  • Informations d'identification avec nom d' user , password encodé en Base64 et domaine défini sur example.net
  • Méthode EAP définie sur 21 (EAP-TTLS)
  • Méthode interne de phase 2 définie sur MS-CHAP-V2
  • Noms de domaine AAA alternatifs définis sur trusted.com et trusted.net
<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>Example Network</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>hotspot.example.net</Value>
        </Node>
        <Node>
          <NodeName>RoamingConsortiumOI</NodeName>
          <Value>112233,445566</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>example.net</Value>
        </Node>
        <Node>
          <NodeName>UsernamePassword</NodeName>
          <Node>
            <NodeName>Username</NodeName>
            <Value>user</Value>
          </Node>
          <Node>
            <NodeName>Password</NodeName>
            <Value>cGFzc3dvcmQ=</Value>
          </Node>
          <Node>
            <NodeName>EAPMethod</NodeName>
            <Node>
              <NodeName>EAPType</NodeName>
              <Value>21</Value>
            </Node>
            <Node>
              <NodeName>InnerMethod</NodeName>
              <Value>MS-CHAP-V2</Value>
            </Node>
          </Node>
        </Node>
      </Node>
      <Node>
        <NodeName>Extension</NodeName>
        <Node>
            <NodeName>Android</NodeName>
            <Node>
                <NodeName>AAAServerTrustedNames</NodeName>
                <Node>
                    <NodeName>FQDN</NodeName>
                    <Value>trusted.com;trusted.net</Value>
                </Node>
            </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

Profil avec un identifiant de certificat numérique (EAP-TLS)

L'exemple suivant illustre un profil pour un réseau avec :

  • Nom convivial pour le réseau défini sur GlobalRoaming
  • FQDN défini sur globalroaming.net
  • OI du Consortium d'itinérance (pour l'itinérance)
  • Domaine défini sur users.globalroaming.net
  • Identifiant avec un certificat numérique comportant l'empreinte digitale spécifiée
<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>GlobalRoaming</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>globalroaming.net</Value>
        </Node>
        <Node>
          <NodeName>RoamingConsortiumOI</NodeName>
          <Value>FFEEDDCC0,FFEEDDCC1,009999,008888</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>users.globalroaming.net</Value>
        </Node>
        <Node>
          <NodeName>DigitalCertificate</NodeName>
          <Node>
            <NodeName>CertificateType</NodeName>
            <Value>x509v3</Value>
          </Node>
          <Node>
            <NodeName>CertSHA256Fingerprint</NodeName>
            <Value>0ef08a3d2118700474ca51fa25dc5e6d3d63d779aaad8238b608a853761da533</Value>
          </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

Profil avec un identifiant SIM (EAP-AKA)

L'exemple suivant illustre un profil pour un réseau avec :

  • Nom convivial pour le réseau défini sur Purple Passpoint
  • Nom de domaine complet défini sur wlan.mnc888.mcc999.3gppnetwork.org
  • Identifiant SIM avec ID PLMN de 999888
  • Méthode EAP définie sur 23 (EAP-AKA)
<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>Purple Passpoint</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>purplewifi.com</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>wlan.mnc888.mcc999.3gppnetwork.org</Value>
        </Node>
        <Node>
          <NodeName>SIM</NodeName>
          <Node>
            <NodeName>IMSI</NodeName>
            <Value>999888*</Value>
          </Node>
          <Node>
            <NodeName>EAPType</NodeName>
            <Value>23</Value>
          </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

Avis d'authentification

Les appareils exécutant Android 8.x ou Android 9 avec un profil Passpoint R1 EAP-SIM, EAP-AKA ou EAP-AKA ne se connecteront pas automatiquement au réseau Passpoint. Ce problème affecte les utilisateurs, les opérateurs et les services en réduisant le déchargement Wi-Fi.

Segment Impact Taille de l'impact
Opérateurs et fournisseurs de services Passpoint Charge accrue sur le réseau cellulaire. Tout opérateur utilisant Passpoint R1.
Utilisateurs Opportunité manquée de se connecter automatiquement aux points d'accès (AP) Wi-Fi de l'opérateur, ce qui entraîne des coûts de données plus élevés. Tout utilisateur disposant d'un appareil fonctionnant sur un réseau d'opérateur prenant en charge Passpoint R1.

Cause de l'échec

Passpoint spécifie un mécanisme permettant de faire correspondre un fournisseur de services annoncé (ANQP) à un profil installé sur l'appareil. Les règles de correspondance suivantes pour EAP-SIM, EAP-AKA et EAP-AKA' sont un ensemble partiel de règles axées sur les échecs EAP-SIM/AKA/AKA' :

If the FQDN (Fully Qualified Domain Name) matches
    then the service is a Home Service Provider.
Else: If the PLMN ID (3GPP Network) matches
    then the service is a Roaming Service Provider.

Le deuxième critère a été modifié dans Android 8.0 :

Else: If the PLMN ID (3GPP Network) matches AND the NAI Realm matches
    then the service is a Roaming Service Provider.

Avec cette modification, le système n'a observé aucune correspondance avec les fournisseurs de services qui travaillaient auparavant, de sorte que les appareils Passpoint ne se sont pas connectés automatiquement.

Solutions de contournement

Pour contourner le problème des critères de correspondance modifiés, les opérateurs et les fournisseurs de services doivent ajouter le domaine de l'identifiant d'accès au réseau (NAI) aux informations publiées par le point d'accès Passpoint.

La solution recommandée consiste pour les fournisseurs de services réseau à mettre en œuvre une solution de contournement côté réseau pour accélérer le déploiement. Une solution de contournement côté appareil dépend de la récupération par les OEM d’une liste de modifications (CL) auprès de l’AOSP, puis de la mise à jour des appareils sur le terrain.

Correctif réseau pour les opérateurs et les fournisseurs de services Passpoint

La solution de contournement côté réseau nécessite de reconfigurer le réseau pour ajouter l’élément ANQP du domaine NAI comme spécifié ci-dessous. Les spécifications Passpoint ne nécessitent pas l'élément ANQP du domaine NAI, mais l'ajout de cette propriété est conforme aux spécifications Passpoint, de sorte que les implémentations client conformes aux spécifications ne devraient pas être interrompues.

  1. Ajoutez l’élément ANQP du domaine NAI.
  2. Définissez le sous-champ du domaine NAI pour qu'il corresponde au Realm du profil installé sur l'appareil.
  3. Définissez les informations suivantes en fonction de chaque type EAP :

    • EAP-TTLS : définissez EAPMethod(21) et les types d'authentification interne pris en charge ( PAP , CHAP , MS-CHAP ou MS-CHAP-V2 )
    • EAP-TLS : définir EAPMethod(13)
    • EAP-SIM : définir EAPMethod(18)
    • EAP-AKA : définir EAPMethod(23)
    • EAP-AKA' : Définir EAPMethod(50)

Correctif de périphérique/AOSP pour les OEM

Pour implémenter une solution de contournement côté périphérique, les OEM doivent choisir le correctif CL aosp/718508 . Ce correctif peut être appliqué en plus des versions suivantes (ne s'applique pas à Android 10 ou version ultérieure) :

  • Android 9
  • Android 8.x

Lorsque le correctif est récupéré, les OEM doivent mettre à jour les appareils sur le terrain.