2. 农业物联网通信协议安全分析
农业物联网的通信层往往横跨数百米到数公里：大棚内的温湿度节点、田间的土壤墒情探头、畜舍的耳标与定位器、农机上的状态采集终端，各自选择不同的无线协议接入网关或基站。协议不同，安全边界就不同。本节不逐一罗列协议规范，而是围绕“密钥在哪里、认证怎么做、攻击者能从哪个口子进来”三个问题，对 LoRaWAN、NB-IoT、ZigBee、Wi-Fi、BLE 做一次面向农业场景的安全机制与脆弱性对比，并给出可落地的加固判断依据。
一、五类协议的信任根与加密位置
理解协议安全，先要找到它的“信任根”。LoRaWAN 的信任根在终端与网络服务器之间：终端出厂烧录 DevEUI、JoinEUI、AppKey（LoRaWAN 1.1 起引入 NwkKey/AppKey 分离），入网时通过 OTAA 派生 NwkSKey 与 AppSKey，前者保护 MAC 层，后者保护应用载荷，网络服务器看不到应用明文。它的加密止于网络服务器，属于“逐跳保护”，网关到服务器这一段依赖回传链路自身的安全。
NB-IoT 建立在蜂窝网之上，信任根是 USIM 卡中的 Ki 与运营商核心网的鉴权中心，空口加密（AS/NAS 层）由蜂窝标准完成，用户数据在基站与核心网之间受保护。对农业用户而言，这意味着“空口安全基本不用自己操心”，但应用层若明文传输，运营商网络之外仍然裸奔。ZigBee 的信任根是信任中心（Trust Center）分发的网络密钥与链路密钥，标准安全模式下全网的网络密钥相同，一节点泄露即全网暴露。Wi-Fi 的信任根是预共享密钥（WPA2-PSK/WPA3-SAE）或 802.1X 认证，加密在终端与 AP 之间逐跳完成。BLE 的信任根是配对阶段生成的长期密钥（LTK），配对方式（Just Works、Passkey、OOB）直接决定密钥强度。
二、逐协议的脆弱性要点与农业场景映射
LoRaWAN 的关键风险在入网与密钥生命周期。OTAA 入网时若 Join 请求被捕获并重放，配合帧计数器管理不当可造成重放注入；更常见的是 ABP 激活方式为了省事把 NwkSKey/AppSKey 固定烧录，一旦某台终端被拆解读出密钥，攻击者就能伪造该设备上报虚假墒情。农业部署中终端常安装在无人看管的田头，物理可达性高，这一点必须纳入威胁建模。加固上应优先 OTAA、启用帧计数器校验、按设备粒度隔离应用密钥，并对网关回传链路（如 4G 回传）单独做加密。
NB-IoT 的空口安全由运营商兜底，风险上移到应用层与终端侧。蜂窝鉴权能有效抵御空口窃听和伪基站（在标准实现下），但农业平台常见“设备直连公网 MQTT、用户名口令写死在固件里”的做法，等于把安全边界让给了弱口令。另一个易被忽视的点是 SIM 卡与终端分离管理：卡被拔出插入其他设备即可冒用流量。实践上应使用定向物联网卡、绑定 IMEI、在应用层启用 TLS 与设备证书，并对 OTA 固件做签名校验。
ZigBee 的脆弱性最集中也最典型。标准安全模式下全网共享一个网络密钥，任何被攻陷的节点（例如大棚里一个便宜的温湿度传感器）都能解密全网流量；出厂默认密钥未更换、允许入网时间窗口过长、信任中心不启用安装码，都会放大风险。Mesh 中继节点需要解密再转发，意味着数据在中间节点是明文。加固要点：启用安装码或预配置链路密钥、缩短 Permit Join 窗口、关闭不必要的应用层明文簇、对网关做访问控制。
Wi-Fi 在农业中多用于大棚控制器、农机车载终端和视频回传。WPA2-PSK 在口令强度不足时可被离线字典攻击，WPA3-SAE 能抵御此类攻击并提供前向保密，应优先启用。农场 AP 覆盖范围大、常部署在室外，钓鱼 AP 与 Deauth 干扰成本低，会造成控制器掉线或误连。实践上应关闭 WPS、使用独立 IoT VLAN 隔离摄像头与控制器、禁用管理帧保护缺失的老旧设备、把口令从出厂默认改为 12 位以上随机串并定期轮换。
BLE 广泛用于耳标、手持巡检仪和传感器配置口。其安全强度几乎完全由配对方式决定：Just Works 无中间人防护，攻击者可在配对时截获并冒充；广播包（如 Beacon、设备名、MAC）默认不加密，可被用于设备发现与位置跟踪。农业现场常见“调试口长期开放、默认 PIN 为 000000”的问题。加固上应使用 Passkey 或 OOB 配对、关闭不必要的可连接广播、在应用层对配置指令做签名与时效校验、量产时关闭调试接口。
三、横向对比：该把安全预算花在哪里
把五类协议放在同一张表里看，可以得到一个清晰的判断：空口加密的“自动化程度”越高，用户需要自建的安全工作就越少，但应用层的责任并不会消失。NB-IoT 的空口最省心，却最容易在平台口令和 OTA 上失守；LoRaWAN 与 ZigBee 把密钥管理责任交给了部署方，配置质量直接决定安全水平；Wi-Fi 与 BLE 的协议本身可用，但口令与配对方式的选择空间大，人为因素占比最高。
对农业项目而言，一个可执行的加固优先级是：第一，清点所有协议的密钥来源，凡是用出厂默认密钥或 ABP 固定密钥的，列入整改清单；第二，应用层统一加一层端到端保护（如 TLS 或应用级 AEAD），不依赖逐跳加密；第三，把 OTA 固件签名和调试口关闭作为量产准入条件；第四，对田头无人看管的终端做物理防护与密钥可撤销设计。按这个顺序推进，比逐协议追求“最强加密”更符合农业物联网成本敏感、部署分散的现实。