Academia LoRaWAN®

Ao conectar um dispositivo a uma rede LoRaWAN, considere as seguintes práticas recomendadas:

Use Ativação Over-the-Air em vez de Ativação por Personalização

A Ativação Over-the-Air (OTAA) permite que os dispositivos finais entrem e voltem a uma rede LoRaWAN. Ao usar OTAA, as chaves de sessão são geradas quando um dispositivo final ingressa na rede. Uma boa prática é fazer com que um dispositivo retorne à rede ocasionalmente para que novas chaves de sessão sejam criadas. Isso reduz a chance de alguém obter acesso ao payload do aplicativo indefinidamente quando as chaves de sessão são imitadas. Ao usar o LoRaWAN, certifique-se de que o servidor de join seja executado em um domínio seguro que você hospeda ou que seja hospedado por um terceiro confiável, porque esse servidor armazena as chaves mestre para o lado da nuvem da rede LoRaWAN. Para evitar dependência de fornecedor, verifique se o servidor de join é independente do provedor de rede e se ele permite que os dispositivos finais se juntem a um operador de rede LoRaWAN diferente ao longo do tempo.

Por outro lado, para ativar um dispositivo usando Ativação por personalização (ABP), as chaves de sessão devem ser codificadas no dispositivo. Essas chaves não podem ser alteradas depois que o dispositivo é implantado no campo. Assim, o ABP não permite que os dispositivos se juntem a diferentes redes LoRaWAN ou servidores de aplicativos. 

Use um módulo de hardware seguro

As chaves de sessão são derivadas das chaves mestre: a chave de aplicativo (AppKey) e a chave de rede (NwkKey). A(s) chave(s) mestre são armazenadas no dispositivo. Recomendamos que você armazene a(s) chave(s) mestre em um módulo seguro de hardware para tornar muito mais difícil acessar a(s) chave(s) usando um ataque de força bruta.

Provisionamento seguro de chaves

É vital que você sempre saiba quem tem acesso às chaves de sessão para seus dispositivos finais. Evite que suas chaves sejam expostas a qualquer pessoa que não seja totalmente confiável.

O provisionamento de chave fora de banda pode ser uma boa maneira de garantir que as pessoas que inserem as chaves não tenham acesso às próprias chaves dos dispositivos. É possível, porém, criar um aplicativo que utilize BLE ou NFC para injetar as chaves diretamente no aparelho.

Configurações de segurança

Para atenuar os ataques de repetição, ative os contadores de quadros de 32 bits para mensagens de uplink e downlink. Além disso, use um tamanho fixo de payload para mascarar atividades orientadas a eventos e ajudar a impedir que hackers obtenham informações específicas do evento a partir do payload.