LoRaWAN nutzt eine zweischichtige AES-128-Verschlüsselung: NwkSKey für Authentifizierung und Integrität des Frames (zwischen Gerät und Network Server) sowie AppSKey für die Verschlüsselung des Anwendungs-Payloads (zwischen Gerät und Application Server).

Zweischichtige LoRaWAN-Sicherheit im Detail: Der NwkSKey (Network Session Key, AES-128) sichert Signatur und Authentifizierung des Frames. Der AppSKey (Application Session Key, AES-128) verschlüsselt das Anwendungs-Payload. Der Network Server kann das Payload NICHT entschlüsseln (Anwendungs-Privacy bleibt gewahrt). Der Application Server hält den AppSKey und entschlüsselt damit das Payload — der AppSKey wird niemals über das Netz übertragen. Das ist Privacy by Design: Der Netzbetreiber sieht die Geschäftsdaten nicht.

Eselsbrücke: 'NwkSKey schützt den Briefumschlag, AppSKey schützt den Brief'. So bleibt klar, dass Netzbetreiber und Anwendungsbetreiber unterschiedliche Sichten haben.