3. 农业物联网设备身份标识与认证

在农业物联网系统中，温室里的温湿度传感器、土壤墒情探头、CO₂浓度计、卷帘电机、水肥一体机控制器等设备，往往由不同厂商生产、在不同时间部署，并通过无线或有线方式接入同一个网关。如果网关无法确认“这条数据到底来自哪台设备”，攻击者就可以伪造一个传感器节点上报虚假的土壤湿度，诱导灌溉系统过量浇水；或者冒充控制指令，擅自开启通风窗。因此，设备身份标识与认证是农业物联网通信安全的第一道门槛。

一、设备唯一标识：让每台设备“有名有姓”

设备唯一标识（Device Identity）是认证的前提。它要求每台设备在系统范围内拥有一个不可混淆、难以伪造、可被追溯的标识符。工程上常见的做法有三类：

• 硬件级标识：利用芯片出厂固化的唯一编号，如 MCU 的 96 位 UID、安全芯片的序列号。这类标识难以篡改，适合作为设备身份的根。
• 逻辑标识：由平台在设备注册时分配的设备 ID，例如 GH01-SOIL-0037，其中 GH01 表示 1 号温室，SOIL 表示土壤传感器，0037 为流水号。逻辑标识便于运维管理，但本身可被复制，必须与密钥绑定使用。
• 复合标识：将硬件 UID 与逻辑 ID 通过哈希或签名绑定，形成“设备指纹”，既便于管理又难以冒充。

需要强调的是，标识符本身不是秘密。设备 ID 可以在通信中明文出现，但它必须与只有该设备才掌握的密钥配合，才能完成认证。把“标识”误当作“凭证”，是农业物联网部署中常见的安全误区。

二、密钥预分配：在设备出厂前埋下信任种子

农业物联网设备通常部署在田间地头，算力和带宽有限，且现场更换密钥成本高。因此，密钥预分配（Key Pre-distribution）成为主流方案：在设备出厂或入网前，将密钥材料预先写入设备的安全存储区。

常见的预分配模式包括：

• 全局共享密钥：所有设备共用一把密钥。实现简单，但一台设备被攻破即全网失守，仅适合小规模封闭系统。
• 设备独立密钥：每台设备拥有唯一密钥，网关侧维护“设备 ID—密钥”映射表。安全性好，但网关需存储大量密钥。
• 密钥派生：预置主密钥，结合设备 UID 通过 KDF（密钥派生函数）派生出设备专属会话密钥。兼顾存储效率与安全性，是温室传感器网络较实用的折中方案。

以某温室项目为例（示例参数）：网关预置主密钥 MK，设备 i 的 UID 为 0x3A7F21，则设备密钥可派生为 K_i = HMAC-SHA256(MK, UID_i)。网关无需为每台设备单独存密钥，只需保存 MK 和 UID 列表，即可在认证时动态计算 K_i 进行比对。这样既降低了密钥管理复杂度，又保证了一机一密。

三、轻量级认证协议：在资源受限条件下建立信任

温室传感器多采用 LoRa、NB-IoT 或 ZigBee 等低功耗通信，单包载荷有限，MCU 主频可能只有几十兆赫兹。完整的 TLS 握手对这类设备负担较重，因此需要轻量级认证协议。其核心思路是：用对称加密和消息认证码（MAC）替代非对称运算，用挑战—响应机制防止重放。

一个典型的轻量级挑战—响应认证过程如下（示例）：

1. 设备入网时向网关发送设备 ID 与随机数 N1。
2. 网关生成随机挑战 N2，回复给设备。
3. 设备计算 MAC = HMAC-SHA256(K_i, N1 || N2 || ID)，将 MAC 发回网关。
4. 网关用自己派生的 K_i 计算同样的 MAC 并比对，一致则认证通过，双方可进一步协商会话密钥。

由于 N2 每次随机，攻击者截获历史 MAC 也无法重放。整个过程中设备只需执行一次 HMAC 运算，计算量和通信量都很小，适合电池供电的传感器节点。

四、温室传感器网络中的认证实战

下面以一个 1 号温室的实际部署场景说明认证如何落地。该温室部署了 12 个土壤温湿度节点、4 个空气温湿度节点、2 个光照节点和 1 台网关，节点通过 LoRa 与网关通信。

部署阶段。产线为每个节点烧录唯一 UID，并写入由主密钥派生的设备密钥 K_i。网关侧导入 UID 清单与主密钥 MK。节点安装时，运维人员扫描节点二维码，将逻辑 ID（如 GH01-SOIL-0037）与 UID 绑定录入平台，形成“逻辑 ID—UID—密钥”的对应关系。

入网认证阶段。节点上电后发起认证。网关收到设备 ID 后，先查 UID 清单确认该设备已注册，再按 K_i = HMAC-SHA256(MK, UID_i) 动态派生密钥，执行前述挑战—响应流程。若 MAC 比对失败，网关拒绝入网并记录告警，同时将该 UID 加入临时黑名单，防止暴力尝试。

运行阶段。认证通过后，双方用挑战随机数派生会话密钥 SK = HMAC(K_i, N1 || N2)，后续温湿度数据用 SK 加密并附加 MAC 上报。会话密钥可设定有效期（示例：24 小时），到期后重新认证，避免长期使用同一密钥带来的风险。

异常判断。实战中需要关注几类现象：同一 UID 在短时间内从两个不同信号特征的位置发起认证，可能是克隆设备；某节点 MAC 连续失败，可能是密钥烧录错误或设备故障；认证成功后数据格式异常，可能是设备被劫持。网关应将这些事件写入安全日志，供运维人员复核。

五、工程要点小结

设备身份标识解决“是谁”，密钥预分配解决“凭什么证明”，轻量级认证协议解决“如何在不增加过多负担的前提下完成验证”。三者构成一条完整的信任链：标识是入口，密钥是凭证，协议是验证过程。在温室传感器网络中落地时，应坚持一机一密、密钥入安全区、认证不可旁路、会话密钥定期更新，并保留可追溯的安全日志。只有把这条链在部署、入网、运行三个阶段都落实，农业物联网的数据才具备可信基础，后续的访问控制与权限管理才有意义。