在密鑰管理中，LoRa網(wǎng)絡(luò)層和應(yīng)用層是由相同的根密鑰和隨機數(shù)生成的，并且這兩層密鑰不是相互隔離的。加密/完整性保護(hù)私鑰使用AES_128加密導(dǎo)出并加密到安全級別。由于實力不足，該行業(yè)無法進(jìn)行此操作，并且該行業(yè)的安全組織尚未得到驗證。因此，存在由于私鑰泄漏引起的數(shù)據(jù)隱私泄漏和數(shù)據(jù)篡改風(fēng)險。
另一方面，NB-IoT數(shù)據(jù)加密/完整性保護(hù)密鑰是使用標(biāo)準(zhǔn)HKDF校正算法基于3GPP/DTLS導(dǎo)出的。網(wǎng)絡(luò)層/傳輸層密鑰是使用不同的機制派生的，并且彼此隔離，并且兩個安全層均不受影響。
LoRa終端網(wǎng)絡(luò)認(rèn)證證書沒有像SIM卡這樣的安全存儲介質(zhì)，其安全性取決于終端的物理保護(hù)，較弱的終端存在更大的泄漏風(fēng)險。
弱終端（例如電表）很容易與攻擊者的近端接觸。當(dāng)身份泄露時，惡意終端模仿合法終端訪問網(wǎng)絡(luò)/云平臺，并在網(wǎng)絡(luò)/云平臺上進(jìn)行類似的DDoS攻擊，以消耗整個系統(tǒng)資源。
同時，惡意終端模仿合法終端報告不正確的數(shù)據(jù)將給企業(yè)/用戶帶來經(jīng)濟損失。例如，模仿普通用戶報告錯誤的電表數(shù)據(jù)可能會導(dǎo)致電力公司的電費異常，或者普通用戶可能要支付很多電費。
相反，NB-IoT終端的網(wǎng)絡(luò)認(rèn)證證書采用SIM卡存儲，提供安全可靠的存儲，保護(hù)級別可以達(dá)到EAL4或更高，并且已經(jīng)通過了無線通信的長期廣泛的安全性測試，世界公認(rèn)的身份驗證證書的存儲方法。
LoRa技術(shù)自誕生以來就選擇了非授權(quán)頻段，這有助于LoRa網(wǎng)絡(luò)的大規(guī)模普及，但對未來的網(wǎng)絡(luò)安全構(gòu)成了威脅。
由于LoRaWAN某些頻段的規(guī)范是公開的，這就很容易造成一個問題：易受攻擊
1、偽造信息。很難“偽造”EndNode，但是攻擊者可以攔截4字節(jié)的DevAddr，并使用其地址發(fā)送消息。網(wǎng)關(guān)是NetworkServer（四個LoRaWANServer服務(wù)器之一）
2、“惡意擁擠”。如果攻擊者使用LoRa設(shè)備并在125kHz頻段中發(fā)送最長的前同步碼，則該頻道將被惡意占用。只要攻擊者保護(hù)占空比和發(fā)送功率，攻擊就是“合法的”。
LoRa用戶對于這種安全漏洞需要保持警惕。將來可能需要政策，法規(guī)或行業(yè)規(guī)范來保護(hù)LoRaWAN免受擁塞攻擊。
相比之下，NB-IoT使用許可的磁帶，并具有三種部署方法：獨立部署，受保護(hù)的磁帶部署和帶內(nèi)部署。世界上的主流頻帶是800MHz和900MHz。NB-IoT模塊是基于授權(quán)帶寬的通信，可有效減少擁塞，降低被攻擊的可能性，并具有良好的安全性。國內(nèi)三大運營商可以為NB-IoT模塊提供電信級別的保障，并保證安全性和可靠性。
LoRa終端和網(wǎng)絡(luò)/服務(wù)器的身份驗證機制是一種簡單的協(xié)議，標(biāo)準(zhǔn)組織無法識別。用于認(rèn)證的隨機數(shù)DevNonce縮短為2個字節(jié)，AppNonce縮短為3個字節(jié)，并且認(rèn)證請求MIC縮短為4個字。某些行業(yè)常用的隨機數(shù)遠(yuǎn)遠(yuǎn)超過32個字節(jié)。如果認(rèn)證隨機數(shù)太短，則先前使用的隨機數(shù)會在短時間內(nèi)重新使用，并且攻擊者可能能夠執(zhí)行重播攻擊。
同時，如果MIC太短，則可能會發(fā)生沖突。攻擊者使用此問題來惡意模仿終端訪問。這對于需要保護(hù)級別的場景（例如智能門鎖）非常危險，因為隨機數(shù)和完整代碼使用的LoRa身份驗證協(xié)議太短，攻擊者播放解鎖命令或模仿終端，而智能門鎖錯誤地執(zhí)行了解鎖命令，導(dǎo)致人員傷亡和財產(chǎn)損失。
另一方面，NB-IoT根據(jù)標(biāo)準(zhǔn)3GPPAKA/DTLS流程執(zhí)行網(wǎng)絡(luò)層/傳輸層身份驗證。隨機數(shù)的長度和認(rèn)證結(jié)果均符合標(biāo)準(zhǔn)和行業(yè)要求，可以有效消除這些風(fēng)險。
最重要的是，在當(dāng)前的政治環(huán)境下，尤其是在未來中美貿(mào)易爭端可能長期威脅的情況下，LoRa被美國公司SEMTECH壟斷，終端和網(wǎng)關(guān)芯片的IP專利被壟斷。
從國家和物聯(lián)網(wǎng)產(chǎn)業(yè)鏈到公司的利益，存在潛在的巨大技術(shù)和國家安全風(fēng)險，例如禁止芯片銷售，高額專利費支付，數(shù)據(jù)被盜和網(wǎng)絡(luò)控制。
NB-IoT技術(shù)屬于3GPP開放標(biāo)準(zhǔn)系統(tǒng)。NB-IoT技術(shù)專利是由許多公司提供的。有許多芯片制造商（14）。該技術(shù)可以自然發(fā)展為5G，因此該技術(shù)和國家安全風(fēng)險較低。
LoRa無法滿足物聯(lián)網(wǎng)規(guī)模的業(yè)務(wù)安全需求。換句話說，LoRa技術(shù)獨特的私有安全協(xié)議在安全性方面存在許多問題和挑戰(zhàn)，無法滿足大規(guī)模物聯(lián)網(wǎng)服務(wù)部署的安全性要求。例如，在諸如智能城市，智能環(huán)保，智能農(nóng)業(yè)，智能醫(yī)療保健和智能家居等應(yīng)用場景中，LoRa引入的終端和網(wǎng)絡(luò)數(shù)量越多，安全問題和風(fēng)險就越大。
另一方面，從物聯(lián)網(wǎng)的高容量訪問安全性的角度來看，NB-IoT可以在實踐中提供經(jīng)過全面驗證的通信級安全性，因此它是當(dāng)前LPWAIoT技術(shù)中唯一的最佳實踐。
億佰特人每一天都致力于更好的助力物聯(lián)化、智能化、自動化的發(fā)展，提升資源利用率，更多產(chǎn)品更多資料，感興趣的小伙伴可以登錄我們的官網(wǎng)http://www.twohalves.cn/進(jìn)行了解，還有客服小姐姐在線答疑哦！
