Passpoint (Hotspot 2.0)

Passpoint הוא פרוטוקול של Wi-Fi Alliance‏ (WFA) שמאפשר למכשירים ניידים לזהות נקודות Wi-Fi לשיתוף אינטרנט ולבצע אימות אליהן כדי לקבל גישה לאינטרנט.

תמיכה במכשיר

הערה: נדרש תמיכה ב-Passpoint במכשירים עם Android מגרסה 11 ואילך שיש בהם Wi-Fi.

כדי לתמוך ב-Passpoint, יצרני המכשירים צריכים להטמיע את ממשק Supplicant. החל מ-Android 13, הממשק משתמש ב-AIDL להגדרת ה-HAL. בגרסאות שלפני Android 13, ממשקים ומחיצות של ספקים משתמשים ב-HIDL. קובצי ה-HIDL נמצאים ב-hardware/interfaces/supplicant/1.x וקובצי ה-AIDL נמצאים ב-hardware/interfaces/supplicant/aidl. הספק תומך בתקן 802.11u, במיוחד בתכונות של גילוי רשת ובחירת רשת כמו שירות פרסום כללי (GAS) ופרוטוקול שאילתת רשת (ANQP).

הטמעה

Android מגרסה 11 ואילך

כדי לתמוך ב-Passpoint במכשירים עם Android מגרסה 11 ואילך, יצרני המכשירים צריכים לספק תמיכה בקושחת ל-802.11u. כל שאר הדרישות לתמיכה ב-Passpoint כלולות ב-AOSP.

Android מגרסה 10 ומטה

במכשירים עם Android מגרסה 10 ומטה, יצרני המכשירים צריכים לספק תמיכה גם ב-framework וגם ב-HAL או בקושחת:

• מסגרת: הפעלת Passpoint (נדרשת תווית תכונה)
• קושחה: תמיכה ב-802.11u

כדי לתמוך ב-Passpoint, מטמיעים את ה-HAL של Wi-Fi ומפעילים את דגל התכונה של Passpoint. בקובץ device.mk שנמצא ב-device/<oem>/<device>, משנים את משתנה הסביבה PRODUCT_COPY_FILES כך שיכלול תמיכה בתכונה Passpoint:

PRODUCT_COPY_FILES +=
frameworks/native/data/etc/android.hardware.wifi.passpoint.xml:$(TARGET_COPY_OUT_VENDOR)/etc/permissions/android.hardware.wifi.passpoint.xml

כל שאר הדרישות לתמיכה ב-Passpoint כלולות ב-AOSP.

אימות

כדי לאמת את ההטמעה של תכונת Passpoint, מריצים את בדיקות היחידות הבאות של חבילה של Passpoint:

בדיקות שירות:

atest com.android.server.wifi.hotspot2

בדיקות מנהל:

atest android.net.wifi.hotspot2

הקצאה של Passpoint R1

מערכת Android תומכת ב-Passpoint R1 מאז Android 6.0, ומאפשרת להקצות פרטי כניסה של Passpoint R1 (גרסה 1) באמצעות הורדה מבוססת-אינטרנט של קובץ מיוחד שמכיל פרטי פרופיל ופרטי כניסה. הלקוח מפעיל באופן אוטומטי מתקין מיוחד למידע על ה-Wi-Fi ומאפשר למשתמש להציג חלקים מהמידע לפני שהוא מקבל או דוחה את התוכן.

פרטי הפרופיל שמופיעים בקובץ משמשים להתאמה לנתונים שאוחזרו מנקודות גישה שתומכות ב-Passpoint, ופרטי הכניסה חלים באופן אוטומטי על כל רשת שתואמת.

הטמעת העזר של Android תומכת ב-EAP-TTLS,‏ EAP-TLS,‏ EAP-SIM,‏ EAP-AKA ו-EAP-AKA'.

מנגנון הורדות

קובץ התצורה של Passpoint צריך להתארח בשרת אינטרנט וצריך להיות מוגן באמצעות TLS (HTTPS) כי הוא עשוי להכיל סיסמת טקסט ברורה או נתוני מפתח פרטי. התוכן מורכב מטקסט MIME מרובע ועטוף, שמיוצג ב-UTF-8 ומקודד בקידוד base64 בהתאם לקטע 6.8 ב-RFC-2045.

כדי להפעיל אוטומטית מתקין Wi-Fi במכשיר, הלקוח משתמש בשדות הבאים של כותרת ה-HTTP:

• הערך של Content-Type חייב להיות application/x-wifi-config.
• הערך של Content-Transfer-Encoding חייב להיות base64.
• אסור להגדיר את Content-Disposition.

שיטת ה-HTTP שמשמשת לאחזור הקובץ חייבת להיות GET. בכל פעם שמתקבלת מהדפדפן תגובה עם כותרות ה-MIME האלה בבקשה HTTP GET, אפליקציית ההתקנה מופעלת. כדי להפעיל את ההורדה, צריך להקיש על רכיב HTML כמו לחצן (אין תמיכה בהפניות אוטומטיות לכתובת URL להורדה). זו התנהגות ספציפית ל-Google Chrome. יכול להיות שדפדפני אינטרנט אחרים יספקו פונקציונליות דומה, אבל לא בהכרח.

הרכב הקבצים

התוכן בקידוד Base64 חייב להכיל תוכן מרובה חלקים של MIME עם Content-Type של multipart/mixed. החלקים הבאים מהווים את החלקים הנפרדים של התוכן המורכב מכמה חלקים.

חלק	Content-Type (פחות קווים נטויים)	חובה	תיאור
פרופיל	application/x-passpoint-profile	תמיד	תוכן טעון בפורמט OMA-DM SyncML שמכיל את הודעת ה-MO בפורמט PerProviderSubscription של Passpoint R1 עבור HomeSP ו-Credential.
אישור אמון	application/x-x509-ca-cert	נדרש עבור EAP-TLS ו-EAP-TTLS	עומס נתונים יחיד של אישור X.509v3 בקידוד base64.
מפתח EAP-TLS	application/x-pkcs12	נדרש ל-EAP-TLS	מבנה ASN.1 של PKCS #12 בקידוד base64 שמכיל שרשרת אישורי לקוח עם לפחות אישור הלקוח והמפתח הפרטי המשויך. המאגר PKCS 12, המפתח הפרטי והאישורים חייבים להיות בטקסט ללא סיסמה.

הקטע 'פרופיל' צריך להיות מועבר כטקסט XML בקידוד UTF-8 ובקידוד Base64, שמציין חלקים מהעץ המשני HomeSP ומהעץ המשני Credential במפרט הטכני של Passpoint R2 בגרסה 1.0.0, בקטע 9.1.

הערה: פורמט ה-XML של הפרופיל שמשמש ב-Android ל-Passpoint R1 מבוסס על פורמט Passpoint R2, אבל הוא לא בהכרח תואם ל-R2. זוהי בחירה בעיצוב ולא דרישה של Passpoint R1.

הצומת ברמה העליונה חייב להיות MgmtTree והצומת המשני המיידי חייב להיות PerProviderSubscription. קובץ XML לדוגמה מופיע ב-Example Profile OMA-DM XML.

הצמתים הבאים של עץ המשנה משמשים ב-HomeSP:

• FriendlyName: חובה להגדיר אותו. הוא משמש כטקסט להצגה.
• FQDN: חובה
• RoamingConsortiumOI

הצמתים הבאים של עץ המשנה משמשים ב-Credential:

• Realm: חייבת להיות מחרוזת לא ריקה

• UsernamePassword: נדרש עבור EAP-TTLS עם הצמתים הבאים:

  • Username: מחרוזת שמכילה את שם המשתמש
  • Password: מחרוזת בקידוד Base64 (מוגדרת ל-cGFzc3dvcmQ=, המחרוזת בקידוד base64 ל-"password" בדוגמה הבאה)
  • EAPMethod/EAPType: חייב להיות מוגדר ל-21
  • EAPMethod/InnerMethod: צריך להגדיר את הערך לאחד מהערכים הבאים: PAP,‏ CHAP,‏ MS-CHAP או MS-CHAP-V2

• DigitalCertificate: חובה ל-EAP-TLS. יש להגדיר את הצמתים הבאים:

  • CertificateType מוגדר לשעה x509v3
  • CertSHA256Fingerprint מוגדר ל-digest SHA-256 הנכון של אישור הלקוח בקטע ה-MIME של מפתח EAP-TLS

• SIM: נדרש ל-EAP-SIM, ל-EAP-AKA ול-EAP-AKA'. השדה EAPType צריך להיות מוגדר לסוג ה-EAP המתאים, ו-IMSI צריך להתאים ל-IMSI של אחד מכרטיסי ה-SIM שהותקנו במכשיר בזמן ההקצאה. מחרוזת ה-IMSI יכולה להכיל רק ספרות עשרוניות כדי לחייב התאמה מלאה של שוויון, או 5 או 6 ספרות אחריהן כוכבית (*) כדי להקטין את התאמת ה-IMSI ל-MCC/MNC בלבד. לדוגמה, מחרוזת ה-IMSI‏ 123456* תואמת לכל כרטיס SIM עם MCC‏ 123 ו-MNC‏ 456.

ב-Android 11 נוספו יכולות שמאפשרות גמישות רבה יותר בהקצאת Passpoint R1.

שם דומיין נפרד לאימות, להרשאה ולחשבונאות (AAA)

אדמינים של רשתות Passpoint שנדרשים להם שם דומיין AAA, באופן בלתי תלוי בשם הדומיין שמוגדר במלואו (FQDN) שמתפרסם על ידי הרשת באמצעות Access Network Query Protocol (ANQP) יכולים לציין רשימה מופרדת בפסיק של FQDN בצומת חדש מתחת לעץ המשנה Extension. זהו צומת אופציונלי, ובמכשירים עם Android מגרסה 10 ומטה מתעלמים מהצומת הזה.

• Android: ענף משנה של תוסף ל-Android

  • AAAServerTrustedNames: נדרש לשמות מהימנים של שרת AAA עם ההגדרות הבאות של הצמתים:

    • FQDN: מחרוזת שמכילה את השמות המהימנים של שרת ה-AAA. השתמשו בנקודות-פסיק כדי להפריד בין השמות המהימנים. לדוגמה, example.org;example.com.

רשויות אישורים (CA) פרטיות ברמה הבסיסית (root) בחתימה עצמית

אדמינים של רשתות Passpoint שמנהלים באופן פנימי את האישורים יכולים להקצות פרופילים עם CA פרטי בחתימה עצמית לאימות AAA.

מתן הרשאה להתקנת פרופילים ללא אישור Root CA

אישור Root CA שמצורף לפרופיל משמש לאימות של שרת AAA. אדמינים של רשתות Passpoint שרוצים להסתמך על רשויות אישורי בסיס מהימנות ציבוריות לאימות של שרת ה-AAA שלהם יכולים להקצות פרופילים בלי אישור של רשות אישורי בסיס. במקרה כזה, המערכת מאמתת את אישורי השרת של ה-AAA מול אישורי ה-Root CA הציבוריים שמותקנים במאגר האמון.

הקצאה של Passpoint R2

זהירות: החל מ-30 ביוני 2023, התכונה 'הרשמה אונליין' (OSU) הוצאה משימוש על ידי Wi-Fi Alliance.

ב-Android 10 נוספה תמיכה בתכונות של Passpoint R2. Passpoint R2 מוטמעת בהרשמה אונליין (OSU), שיטה סטנדרטית להקצאת פרופילים חדשים של Passpoint. Android מגרסה 10 ואילך תומך בהקצאה של פרופילים של EAP-TTLS באמצעות פרוטוקול SOAP-XML דרך OSU ESS פתוח.

התכונות הנתמכות של Passpoint R2 דורשות רק קוד עזר של AOSP (אין צורך בתמיכה נוספת בתוכנת התקן או בקושחה). קוד העזר של AOSP כולל גם הטמעת ברירת מחדל של ממשק המשתמש של Passpoint R2 באפליקציית ההגדרות.

כשמערכת Android מזהה נקודת גישה מסוג Passpoint R2, מסגרת Android:

1. הצגת רשימה של ספקי השירותים שמפורסמים על ידי הנתב בבורר ה-Wi-Fi (בנוסף להצגת ה-SSID).
2. המערכת מבקשת מהמשתמש להקיש על אחד מספקי השירות כדי להגדיר פרופיל Passpoint.
3. מנחה את המשתמש בתהליך הגדרת הפרופיל ב-Passpoint.
4. בסיום ההתקנה, המערכת מתקינה את פרופיל Passpoint שנוצר.
5. המכשיר משויך לרשת Passpoint באמצעות פרופיל Passpoint החדש שהוקצה.

הערה: אישורי CA (אישורי בסיס מהימנים) לשרתי AAA ושרתי תיקונים חייבים להיות אישורי X.509 בקידוד DER, וצריך להגדיר את שדה הכותרת Content-Type ל-application/x-x509-ca-cert. שדה הכותרת Content-Transfer-Encoding צריך להיות מוגדר ל-base64.

התכונות של Passpoint R3

ב-Android 12 נוספו התכונות הבאות של Passpoint R3, שמשפרות את חוויית המשתמש ומאפשרות לרשתות לעמוד בדרישות של החוקים המקומיים:

תנאים והגבלות

על פי חוק, נדרשת הסכמה לתנאים ולהגבלות במקומות מסוימים ובמקומות מסוימים כדי לספק גישה לרשת. התכונה הזו מאפשרת לפריסות רשתות להחליף פורטלים שבויים לא מאובטחים שמשתמשים ברשתות פתוחות, ברשת Passpoint מאובטחת. מוצגת הודעה למשתמש כשצריך לאשר את התנאים וההגבלות.

כתובת ה-URL של התנאים וההגבלות חייבת להפנות לאתר מאובטח באמצעות HTTPS. אם כתובת ה-URL מפנה לאתר לא מאובטח, המסגרת מנתקת את הרשת ומחסימה אותה באופן מיידי.

כתובת URL של פרטי המקום

מתן אפשרות למפעילי רשתות ולמקומות לספק מידע נוסף למשתמש, כמו מפות של מקומות, ספריות, מבצעים ושוברים. כשהרשת מחוברת, מוצגת התראה למשתמש.

כתובת ה-URL של פרטי המקום חייבת להפנות לאתר מאובטח באמצעות HTTPS. אם כתובת ה-URL מפנה לאתר לא מאובטח, המסגרת מתעלמת מכתובת ה-URL ולא מציגה התראה.

תכונות אחרות של Passpoint

ב-Android 11 נוספו יכולות Passpoint שמאפשרות לשפר את חוויית המשתמש, את צריכת האנרגיה ואת הגמישות בפריסה.

אכיפה והתראה על תאריך תפוגה

אכיפת תאריכי תפוגה בפרופילים מאפשרת למסגרת להימנע מחיבור אוטומטי לנקודות גישה עם פרטי כניסה שפג תוקפם, שסביר להניח שייכשל. כך אפשר לחסוך בזמן השידור, בסוללה וברוחב הפס בצד העורפי. המסגרת מציגה התראה למשתמש כשיש רשת בטווח שתואמת לפרופיל שלו ותוקף הפרופיל פג.

מספר פרופילים עם FQDN זהה

ספקים שמפרסים רשתות Passpoint ומשתמשים במספר מזהי רשתות ציבוריות לנייד (PLMN) יכולים להקצות כמה פרופילים של Passpoint עם אותו FQDN, אחד לכל מזהה PLMN, שמתאים באופן אוטומטי לכרטיס ה-SIM שמותקן ומשממש לחיבור לרשת.

ב-Android 12 יש את היכולות הבאות של Passpoint שמשפרות את חוויית המשתמש, את השימוש בחשמל ואת גמישות הפריסה:

קידומת זהות מעוטרת

כשמבצעים אימות לרשתות עם קישוט של קידומת, קידומת הזהות המעוטרת מאפשרת למפעילי הרשת לעדכן את מזהה הגישה לרשת (NAI) כדי לבצע ניתוב מפורש דרך כמה שרתים proxy בתוך רשת AAA (ראו RFC 7542). התכונה הזו מיושמת ב-Android 12 בהתאם למפרט WBA לתוספים של PPS-MO.

טיפול מיידי בביטול האימות

מאפשר למפעילי הרשתות לאותת למכשיר שהשירות לא זמין לפרטי הכניסה ששימשו לאימות ברשת למשך פרק זמן מסוים (שצוין באמצעות עיכוב זמן קצוב לתפוגה). אחרי קבלת האות הזה, המכשירים לא ינסו להתחבר מחדש לרשת עם אותם פרטי הכניסה עד לסיום זמן הקצוב לתפוגה. לעומת זאת, מכשירים שלא תומכים בתכונה הזו עשויים לנסות להתחבר שוב לרשת שוב ושוב כשהשירות לא זמין.

דוגמאות לפרופילי XML מסוג OMA-DM PerProviderSubscription-MO

פרופיל עם פרטי כניסה של שם משתמש/סיסמה (EAP-TTLS)

בדוגמה הבאה מוצג פרופיל של ערוץ עם:

• השם שמתאים לרשת מוגדר כ-Example Network
• FQDN מוגדר כ-hotspot.example.net
• OIs של שותפות נדידה (לנדידה)
• פרטי כניסה עם שם המשתמש user, הסיסמה password בקידוד Base64 והתחום (realm) מוגדר כ-example.net
• שיטת EAP הוגדרה כ-21 (EAP-TTLS)
• שיטת הפנים של שלב 2 מוגדרת כ-MS-CHAP-V2
• שמות דומיינים חלופיים של AAA מוגדרים כ-trusted.com ו-trusted.net

<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>Example Network</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>hotspot.example.net</Value>
        </Node>
        <Node>
          <NodeName>RoamingConsortiumOI</NodeName>
          <Value>112233,445566</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>example.net</Value>
        </Node>
        <Node>
          <NodeName>UsernamePassword</NodeName>
          <Node>
            <NodeName>Username</NodeName>
            <Value>user</Value>
          </Node>
          <Node>
            <NodeName>Password</NodeName>
            <Value>cGFzc3dvcmQ=</Value>
          </Node>
          <Node>
            <NodeName>EAPMethod</NodeName>
            <Node>
              <NodeName>EAPType</NodeName>
              <Value>21</Value>
            </Node>
            <Node>
              <NodeName>InnerMethod</NodeName>
              <Value>MS-CHAP-V2</Value>
            </Node>
          </Node>
        </Node>
      </Node>
      <Node>
        <NodeName>Extension</NodeName>
        <Node>
            <NodeName>Android</NodeName>
            <Node>
                <NodeName>AAAServerTrustedNames</NodeName>
                <Node>
                    <NodeName>FQDN</NodeName>
                    <Value>trusted.com;trusted.net</Value>
                </Node>
            </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

פרופיל עם פרטי כניסה של אישור דיגיטלי (EAP-TLS)

בדוגמה הבאה מוצג פרופיל של ערוץ עם:

• השם 'ידידותי לרשת' שהוגדר הוא GlobalRoaming
• ה-FQDN הוגדר ל-globalroaming.net
• OIs של קונסורציום נדידה (לנדידה)
• ההגדרה של הרמה היא users.globalroaming.net
• פרטי כניסה עם אישור דיגיטלי עם טביעת האצבע שצוינה

<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>GlobalRoaming</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>globalroaming.net</Value>
        </Node>
        <Node>
          <NodeName>RoamingConsortiumOI</NodeName>
          <Value>FFEEDDCC0,FFEEDDCC1,009999,008888</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>users.globalroaming.net</Value>
        </Node>
        <Node>
          <NodeName>DigitalCertificate</NodeName>
          <Node>
            <NodeName>CertificateType</NodeName>
            <Value>x509v3</Value>
          </Node>
          <Node>
            <NodeName>CertSHA256Fingerprint</NodeName>
            <Value>0ef08a3d2118700474ca51fa25dc5e6d3d63d779aaad8238b608a853761da533</Value>
          </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

הערה: טביעת האצבע שצוינה בצומת CertSHA256Fingerprint חייבת להתאים לטביעת האצבע של האישור שמצורף לפרופיל.

פרופיל עם פרטי כניסה של SIM (EAP-AKA)

בדוגמה הבאה מוצג פרופיל של ערוץ עם:

• השם שמתאים לרשת מוגדר כ-Purple Passpoint
• FQDN מוגדר כ-wlan.mnc888.mcc999.3gppnetwork.org
• פרטי כניסה של SIM עם מזהה PLMN‏ 999888
• שיטת ה-EAP מוגדרת כ-23‏ (EAP-AKA)

<MgmtTree xmlns="syncml:dmddf1.2">
  <VerDTD>1.2</VerDTD>
  <Node>
    <NodeName>PerProviderSubscription</NodeName>
    <RTProperties>
      <Type>
        <DDFName>urn:wfa:mo:hotspot2dot0-perprovidersubscription:1.0</DDFName>
      </Type>
    </RTProperties>
    <Node>
      <NodeName>i001</NodeName>
      <Node>
        <NodeName>HomeSP</NodeName>
        <Node>
          <NodeName>FriendlyName</NodeName>
          <Value>Purple Passpoint</Value>
        </Node>
        <Node>
          <NodeName>FQDN</NodeName>
          <Value>purplewifi.com</Value>
        </Node>
      </Node>
      <Node>
        <NodeName>Credential</NodeName>
        <Node>
          <NodeName>Realm</NodeName>
          <Value>wlan.mnc888.mcc999.3gppnetwork.org</Value>
        </Node>
        <Node>
          <NodeName>SIM</NodeName>
          <Node>
            <NodeName>IMSI</NodeName>
            <Value>999888*</Value>
          </Node>
          <Node>
            <NodeName>EAPType</NodeName>
            <Value>23</Value>
          </Node>
        </Node>
      </Node>
    </Node>
  </Node>
</MgmtTree>

הערה: פרטים נוספים ודוגמה גרפית של אובייקט הניהול PerProviderSubscription מופיעים בקטע 9 במפרט Passpoint, גרסה 3 של Wi-Fi Alliance.

התרעה על אימות

הערה: ההודעה הזו לא רלוונטית למכשירים עם Android מגרסה 10 ואילך.

במכשירים עם Android 8.x או Android 9 עם פרופיל Passpoint R1 מסוג EAP-SIM, ‏ EAP-AKA או EAP-AKA', לא תתבצע חיבור אוטומטי לרשת Passpoint. הבעיה הזו משפיעה על משתמשים, ספקים ושירותים, על ידי צמצום העומס על ה-Wi-Fi.

פלח	השפעה	היקף ההשפעה
ספקי שירותי Passpoint וחברות סלולר	עומס גבוה יותר על הרשת הסלולרית.	כל ספק שמשתמש ב-Passpoint R1.
משתמשים	החמצת הזדמנות להתחבר באופן אוטומטי לנקודות גישה (AP) של Wi-Fi של ספק, וכתוצאה מכך עלויות גבוהות יותר של נתונים.	כל משתמש עם מכשיר שפועל ברשת של ספק שתומכת ב-Passpoint R1.

הסיבה לכשל

Passpoint מציין מנגנון להתאמת ספק שירות שפורסם (ANQP) לפרופיל שמותקן במכשיר. כללי ההתאמה הבאים ל-EAP-SIM, ל-EAP-AKA ול-EAP-AKA' הם קבוצה חלקית של כללים שמתמקדים בכשלים של EAP-SIM/AKA/AKA':

If the FQDN (Fully Qualified Domain Name) matches
    then the service is a Home Service Provider.
Else: If the PLMN ID (3GPP Network) matches
    then the service is a Roaming Service Provider.

הקריטריון השני השתנה ב-Android 8.0:

Else: If the PLMN ID (3GPP Network) matches AND the NAI Realm matches
    then the service is a Roaming Service Provider.

בעקבות השינוי הזה, המערכת לא זיהתה התאמה לספקים של שירותים שפעלו בעבר, ולכן מכשירי Passpoint לא התחברו באופן אוטומטי.

פתרונות חלופיים

כדי לפתור את הבעיה של שינוי הקריטריונים להתאמה, ספקים וספקי שירות צריכים להוסיף את תחום מזהה הגישה לרשת (NAI) למידע שמתפרסם על ידי Passpoint AP.

הפתרון המומלץ הוא שספקי שירותי הרשת יטמיעו פתרון עקיף ברמת הרשת כדי לקצר את זמן הפריסה. פתרון עקיף בצד המכשיר תלוי ב-OEMs שמקבלים רשימת שינויים (CL) מ-AOSP ומעדכנים את המכשירים בשטח.

תיקון רשת לספקים ולספקי שירות Passpoint

כדי לבצע את הפתרון החלופי ברמת הרשת, צריך לשנות את הגדרות הרשת כך שיתווסף אליה רכיב ANQP של תחום NAI, כפי שמפורט בהמשך. במפרטי Passpoint לא נדרש רכיב ANQP של תחום NAI, אבל התוספת של הנכס הזה עומדת במפרט Passpoint, כך שהטמעות לקוח שתואמות למפרט לא אמורות להיכשל.

1. מוסיפים את רכיב ה-ANQP של תחום ה-NAI.
2. מגדירים את שדה המשנה של תחום NAI שיתאים ל-Realm של הפרופיל שמותקן במכשיר.

3. מגדירים את המידע הבא בהתאם לכל סוג של EAP:

   • EAP-TTLS: מגדירים את EAPMethod(21) ואת סוגי האימות הפנימיים הנתמכים (PAP,‏ CHAP,‏ MS-CHAP או MS-CHAP-V2)
   • EAP-TLS: מגדירים את EAPMethod(13)
   • EAP-SIM: מגדירים את EAPMethod(18)
   • EAP-AKA: מגדירים את EAPMethod(23)
   • EAP-AKA': מגדירים את EAPMethod(50)

תיקון למכשיר/AOSP ליצרני ציוד מקורי (OEM)

כדי להטמיע פתרון זמני בצד המכשיר, יצרני ציוד מקורי צריכים לבחור את תיקון ה-CL‏ aosp/718508. אפשר להחיל את התיקון הזה בנוסף לגרסאות הבאות (לא רלוונטי ל-Android 10 ואילך):

• 9 Android
• Android מגרסה 8.x

כשהתיקון יתקבל, יצרני ציוד מקורי יצטרכו לעדכן את המכשירים בשטח.