无感知认证方案技术(1)(2)

三、802.11u协议及Wi-Fi联盟的Passpoint

IEEE 802.11u协议规定了不同网络间互操作的标准，其制定的初衷是希望Wi-Fi网络能够象运营商的蜂窝网络一样，方便终端接入。到了BYOD时代，这种需求尤其明显：城市里的人们用终端可以搜索到数十个、甚至上百个Wi-Fi信号源，在这种情况下，如何选择正确的网络？通过802.11u协议，Wi-Fi设备就可以自动的连接到Wi-Fi热点而无需用户介入。

802.11u协议中的一个重要部分是使用ANQP(Access Network Query Protocol，接入网络查询协议)。在认证之前，移动终端向带有802.11u功能的AP发送一个ANQP查询，AP通过广告服务Advertisement Server）提供热点的域名和SSID等相关信息。接下来，移动终端检查自己的证书并确认可以连接的漫游服务商列表，移动终端比较自己的列表和从AP处获得的漫游列表，这样就可以确定选择哪一个SSID成功地进行身份识别。所有的过程都是自动的，也就是说 802.11u协议解决了自动选择网络的问题，而不是每次跳出一堆SSID要用户自己选择。

但这是不够的，802.11u仅仅解决了选择接入点的问题，并不能提供不同网络的认证功能。因此无线宽带联盟(WBA)与Wi-Fi联盟合作，提出了Wi-Fi CERTIFIED Passpoint?简称 Passpoint）计划。通过Passpoint计划，Wi-Fi热点接入内网AP将不再需要用户进行任何主动选择或输入。Passpoint将使用统一的接口自动进行关联。设备可以基于多种凭据类型自动获取网络访问权限，包括EAP-SIM/AKA、EAP-PEAP、EAP-TLS等，无需终端用户介入即可与可信任的网络建立连接。

但是，802.11u+ Passpoint的无感知认证方式存在明显缺点。802.11u是2011年才正式通过的协议，目前尚有很多软硬件厂商的产品对802.11u支持度不够。另外，Passpoint部署起来比较复杂，即使采用EAP-PEAP方式做认证，不同终端首次配置差别较大，如iOS系统就必须要手动导入证书，否则会提示证书验证失败，必须手工选择才能接入网络，因此更适合运营商之间的互联，而不是企业内部的BYOD办公。