攻击性LoRaWAN/Sub-GHz

为什么需要关注LoRaWAN与Sub-GHz攻击

LoRaWAN为IoT提供长距离低比特率通信，常见于智能城市、资产追踪和工业遥测；而433/868/915 MHz ISM频段中的车库门、门铃、智能插头、TPMS等设备，多数采用弱加密或无加密。这些场景中，AppKey泄露、frame counter未校验、KeeLoq manufacturer key公开等问题，可能导致报文被解密、重放或伪造，影响设备控制与数据可信性。

技能的核心能力与关键步骤

1. 频段与调制识别：区分LoRa CSS与简单OOK/FSK调制，定位设备工作频段。
2. 报文采集与分析：用HackRF、RTL-SDR、Flipper Zero等硬件采集传输；针对LoRaWAN，捕获Join-Request与Join-Accept并分析密钥推导（如从固件提取AppKey解密得到NwkSKey/AppSKey）；针对ABP设备，检查是否共享密钥、DevAddr是否可预测。
3. 攻击手法落地：对LoRaWAN 1.0.x等旧版本，利用frame counter非单调性重放历史上行帧；若获取NwkSKey/AppSKey，可注入下行配置或命令。对Sub-GHz私有协议，用Flipper Zero/HackRF实现固定码重放、KeeLoq滚动码预测（需结合公开的manufacturer key）；用URH解析未知协议。

适用边界与注意点

• 仅用于授权范围内的安全测试，禁止用于未授权设备或生产环境。
• 现代KeeLoq部署已轮换manufacturer key，仅老旧硬件（如旧车库门、部分工业设备）存在风险。
• 检测依赖服务端异常机制（如LoRaWAN的frame counter、信号强度监控），消费级Sub-GHz设备多无监控。