Documentación

Meshbell es un instrumento de emergencia a escala de vecindario. La verificación es el sustrato, no una función. Esta página dice cómo, y dónde están los bordes.

Panorama general

Un aviso de peligro en Meshbell es un registro pequeño y firmado. Se nombra con el hash de sus propios bytes, se firma con una clave de dispositivo y nunca se altera. Una corrección es un registro nuevo que apunta al anterior, y eso es lo que permite que un aviso y su corrección viajen juntos y que cualquier dispositivo vuelva a comprobar lo que recibe.

Tu teléfono tiene dos enlaces, y ninguno necesita internet

Ese es todo el modelo de conexión, y la pestaña Conexión de la app es donde ves los dos. La tercera fila de abajo no es un enlace del teléfono en absoluto: es lo que hacen las radios entre sí, un salto más allá.

Toda la cadena, de principio a fin: tu teléfono por Bluetooth a la radio de bolsillo de tu mochila, esa radio por LoRa de una cuadra a otra hasta otra radio, esa radio hasta un puente, y el puente por Wi-Fi a cada teléfono y cada navegador de la red del vecindario.

Los dos enlaces alimentan un solo registro y un solo llavero. Un registro que llega por el aire y otro que llega por Wi-Fi aterrizan en el mismo diario y reciben la misma comprobación. Apagar la radio no detiene la recepción por el puente, porque son rutas separadas hacia el mismo lugar.

Todo lo que está por encima de la red está hecho para que perder una conexión, un servidor o un modelo te cueste una anotación, nunca la alerta.

¿Cuál de estos eres?

Hay tres formas de estar preparado, y el resto de esta página está escrito para las tres. Encuentra la tuya y lee primero sus estaciones.

Solo un teléfono

Gratis, y suficiente para recibir. Escuchas lo que te pueda entregar un puente a tu alcance o una conexión a internet, y no hay nada al aire hasta que alguien cerca de ti tenga una radio. Lee el panorama general y funcionar sin conexión, y luego las formas de prepararse de la página principal.

Un par de radios

Unos 30 $ cada una, una en tu mochila y otra en la de un vecino. Ese es el tramo largo: los dos se alcanzan por todo el vecindario sin cobertura, sin internet y sin nada en medio, y cada radio que añada cualquier otra persona lo repite más lejos. Lee radios y hardware y bandas de radio por región.

Un anfitrión de puente

Una sola caja siempre encendida, ~50-80 $, que convierte el Wi-Fi del propio vecindario en un centro de comunicaciones al que se puede sumar cualquier navegador, sin app y sin cuenta. Lee configurar un puente, lo que un puente puso al aire y más de un puente.

El modelo de confianza

Meshbell mantiene separadas dos preguntas, porque son hechos distintos y mezclarlos es como se propaga la mala información.

El segundo eje tiene deliberadamente tres valores. Una falsificación, comprobada contra una clave que tienes y que falló, no es el mismo hecho que una clave desconocida, con la que todavía no se pudo comprobar quién firmó. Fundirlas en una sola palabra, «no válido», ocultaría justo la distinción que una persona necesita. Un mensaje se almacena como confiable solo cuando el llavero dice verificado.

Verificado en el aire, sin copia previa

Una trama corta de radio es una vista previa: un puntero a un registro, que se muestra pero nunca se toma como confiable y nunca se usa para inventar un contenido. Un registro también puede enviarse completo como un sobre autoautenticable, dividido en varias tramas y reensamblado en el otro extremo. Un dispositivo que nunca ha visto antes el registro puede entonces reconstruirlo, volver a derivar su dirección de contenido y comprobar su firma, alcanzando un veredicto verificado en un vecindario de pura radio, sin internet en ningún punto del circuito.

Las tramas llegan sin autenticar por LoRa, y los fragmentos de un registro dividido no van firmados en tránsito. Solo se verifica el registro reensamblado. Un grupo incompleto lo dice y se queda en vista previa.

El cortafuegos de instrucciones

Lo único que una app de emergencia nunca debe hacer es convertir un rumor en una orden. Meshbell lo impone en la estructura del código, no por disciplina de revisión.

• La pantalla que muestra una instrucción, es decir qué hacer, no se puede construir a partir de un mensaje no verificado. El sistema de tipos lo rechaza.
• El texto de orientación viene de un manual empaquetado y versionado, indexado por id. Nunca viene de texto libre llegado por radio ni de un modelo de lenguaje. Un modelo puede resumir una situación, en prosa, etiquetada como inferida. No tiene ningún campo donde poner una orden.
• Una alerta oficial retransmitida se muestra como un vecino que da fe, no como oficial. Su veredicto lo dice con palabras: alerta oficial retransmitida, no tratada como oficial aquí.

La capa de coordinación

Las alertas verificadas responden qué está pasando y si puedes confiar en ello. Un vecindario en una emergencia también tiene una logística ordinaria: quién está localizado, dónde está el refugio, quién tiene un generador. Meshbell lleva una segunda capa, deliberadamente separada, para ese trabajo, de forma nativa en la pestaña Vecindario de la app y en un navegador para quien no tenga la app.

Qué contiene

Por qué se mantiene aparte

Mezclar notas mutables de vecinos en un registro de alertas firmado y de solo anexado rompería ambas cosas. Por eso el almacén de coordinación es algo propio: solo en la red local, mutable, y servido por el puente junto al feed verificado en lugar de dentro de él. Un operador tiene un token de administración para el mantenimiento, por ejemplo borrar datos de prueba o podar un tablón desbordado, y las rutas de administración fallan cerrándose sin él. Publicar y registrarse no necesitan ninguna credencial. Las dos capas comparten una pantalla, nunca una frontera de confianza.

Funcionar sin conexión

La degradación es el estado esperado, no un error. Cuando una ruta de datos está caída, Meshbell sirve los últimos datos válidos conocidos etiquetados con su antigüedad, «hace 40 minutos», en lugar de un vacío de apariencia confiada. El nivel sin modelo, un teléfono viejo sin nada sofisticado dentro, es un nivel de producto de primera clase. Una app de emergencia que solo funciona en el hardware más nuevo le falla a las personas que más probablemente la necesiten.

La recepción continúa mientras Meshbell está en segundo plano, y iOS puede volver a lanzarlo para devolverle una conexión de radio después de que se haya cerrado. Consulta escuchar en segundo plano para saber qué cubre eso y qué no. Nunca ha escuchado con el teléfono apagado, y no va a decir que lo hace.

Radios y hardware

Meshbell funciona en tu teléfono por sí solo. Las radios amplían su alcance cuando la red está caída. Una red en malla de vecindario se construye con hardware LoRa económico y comercial que ejecuta el firmware abierto MeshCore.

Bandas de radio por región

Tu teléfono no lleva dentro ninguna radio LoRa, así que nunca toca la banda. Ese ajuste es del firmware de la radio. Meshbell vuelve a leer la sintonía de la radio al conectarse, la muestra, y dice con claridad cuando la radio no está en el canal que usa tu región.

910.525 MHz es la estación de América del Norte. Cada región de abajo tiene su propio canal, colocado dentro de la banda libre de licencia que esa región permite. Cuando la comunidad de MeshCore publica un canal recomendado para un país, Meshbell adopta ese canal y sus ajustes tal cual, así que los repetidores MeshCore que ya están allí pueden llevar los boletines de Meshbell. Cuando la comunidad no publica ninguno, Meshbell elige un canal que queda fuera de la parte más cargada de la banda.

Salvo que la fila diga otra cosa, un canal funciona con sf7, cr 4/5 y bw 62.5 kHz. Una fila que sigue un canal de MeshCore adopta los valores de ese canal, y por eso varias muestran otro factor de dispersión u otra tasa de codificación, y Japón funciona con bw 125 kHz para caber en las reglas japonesas. Dos radios solo se escuchan entre sí cuando la frecuencia, el ancho de banda, el factor de dispersión y la tasa de codificación coinciden todos.

Las radios vienen en dos familias, una cortada para 902-928 MHz y otra para 863-870 MHz, y entre las dos cubren todas las regiones de esta lista, pero la banda de 470 MHz de China necesita otro chip de radio y otra antena, así que no es un ajuste al que se pueda cambiar.

Configurar un puente

Un puente es un nodo siempre encendido en el vecindario, por lo general una Raspberry Pi, que lleva el feed verificado y la capa de coordinación por Wi-Fi local para que el teléfono o el navegador de cada vecino los alcance sin cobertura y sin internet. Es el segundo de los dos enlaces del teléfono: el Bluetooth alcanza una radio de bolsillo, el Wi-Fi alcanza un puente, y cualquiera de los dos funciona sin nada de internet.

El Wi-Fi propio del puente, para que un vecino no necesite nada

Con un segundo adaptador Wi-Fi, el puente levanta su propia red abierta, llamada meshbell- y después su calle. Es un callejón sin salida a propósito: llega al puente y a nada más, ni a la casa, ni a internet, ni a los demás teléfonos que estén en ella. Un vecino no necesita ninguna aplicación y da cuatro pasos. Conéctese al Wi-Fi cuyo nombre empieza por meshbell-. Una página se abre sola, como la red de un hotel abre su página de acceso; toque Continuar. Si el teléfono pregunta por internet, toque Usar sin internet, porque esta red no tiene, a propósito. Si cierra esa página, abra un navegador y escriba meshbell.lan. Configure la red una vez con sudo ./install-ap.sh --interface wlan1 --ssid meshbell-oak-st.

Si eres el anfitrión, un vecino preparado

El instalador viene dentro de la app y se exporta directamente desde tu teléfono, así que no se descarga nada. Descomprímelo en la Pi, ejecuta el script de instalación, y él imprime la dirección para repartir. El nodo arranca autocontenido: sirve las pantallas de coordinación, una app web instalable para los vecinos que solo tienen navegador, un código QR de esa dirección y una vista de administración para el mantenimiento. Se anuncia en la red local como _meshbell._tcp, y la app se encarga de encontrarlo. No hay nada que configurar a mano ni cuenta que crear.

Si eres un vecino que nunca ha oído hablar de una red en malla

Conéctate al Wi-Fi del vecindario y abre la pestaña Vecindario. La app busca el puente sola y se conecta. Cuando el descubrimiento necesita ayuda, hace las preguntas sencillas, si esta es la red correcta y si el puente está despierto, y ofrece un campo de dirección manual. Si una computadora alcanza el puente pero este teléfono no, casi siempre están en redes Wi-Fi distintas.

Escuchar en segundo plano

El teléfono mantiene el enlace de radio mientras Meshbell está en segundo plano, y iOS puede volver a lanzar Meshbell para devolverle una conexión después de que la app se haya cerrado. Tres cosas lo consiguen juntas: el sistema conserva la conexión Bluetooth, la app pide que se la restauren con ella, y recuerda que querías la radio conectada, así que puede repetir la negociación inicial que el firmware exige en cada conexión nueva.

El límite honesto de todo esto. iOS todavía puede detener la app, y una radio complementaria sirve a un teléfono a la vez, así que una radio que otro teléfono tiene tomada no está disponible para el tuyo. La escucha en segundo plano tampoco sobrevive a un teléfono apagado. Lo que sí significa es que un boletín que llega mientras el teléfono está en el bolsillo se entrega en lugar de perderse.

Lo que un puente puso al aire

Dos hechos que es fácil confundir con uno solo: la radio aceptó un mensaje, y el mensaje salió de verdad. El primero es lo que aprende un teléfono cuando entrega tramas a una radio complementaria. El segundo se mide con los propios contadores de transmisión del firmware de la radio, y solo un puente los lee.

Un puente guarda un comprobante de todo lo que transmite: qué salió, quién lo firmó, qué enlace lo llevó, en cuántas piezas se cortó, el canal, y si los contadores confirmaron que salió por la antena. La app muestra esos comprobantes en la pantalla Lo que salió cuando hay un puente conectado.

Texto simple de otras radios

Las radios MeshCore llevan mensajes de texto corrientes entre personas que no usan Meshbell. Un puente puede oír ese tráfico, y lo mantiene estrictamente aparte del feed verificado. Se marca como sin firmar, que es a propósito una palabra distinta de no se pudo verificar: un boletín no verificado es un registro firmado cuya clave este dispositivo no posee, mientras que el texto simple no lleva ninguna firma.

Los mensajes de canal no llevan clave del remitente, así que un nombre escrito dentro del cuerpo no es una identidad y Meshbell nunca lo trata como tal. Este tráfico nunca se guarda, nunca aparece en el feed verificado, nunca cuenta para corroborar nada, y nunca puede convertirse en una alerta. El puente informa cuánto de él ha oído, y nada más.

Radios que firman por sí mismas

Una radio MeshCore posee su propia clave de firma y el firmware firma con ella. Un operador de puente puede registrar una radio, después de que la radio pruebe que posee la clave, y desde entonces esa radio puede originar un boletín firmado sin ningún teléfono de por medio: un botón de pánico junto a la puerta, o una baliza que informa de una condición.

Un dispositivo firma como dispositivo. Vale como señal y nunca como aprobación, porque una caja no es una persona y tener una radio no es lo mismo que tener la clave de alguien. En cualquier lugar donde la app muestre quién firmó un registro, uno firmado por un dispositivo lo dice.

Más de un puente

Tu teléfono entre varios puentes

Un vecindario puede acabar con más de un puente. La app reúne todos los puentes que logra descubrir, prefiere el que responde mejor, y pasa a otro cuando el actual se queda en silencio. Una dirección que escribiste tú siempre gana sobre una que se descubrió sola.

Puentes enlazados entre sí

Dos puentes que se alcanzan en una red comparten lo que han oído, así que el vecindario de al lado se suma sin que nadie vuelva a introducir nada. Un puente enlazado no es de confianza por diseño: todo lo que entrega pasa por la misma comprobación de firma que cualquier otra cosa antes de guardarlo, así que un puente enlazado malicioso puede llenar el disco de otro puente y nunca puede poner un boletín falso delante de un vecino.

Los vecinos enlazan puentes por las vías corrientes: un segundo adaptador Wi-Fi en la Pi, una red de invitados en la casa de al lado, o un par de unidades Wi-Fi direccionales entre dos tejados.

Alcanzar radios Meshtastic

Meshtastic es la otra red en malla LoRa de uso extendido, y los dos firmwares no se escuchan entre sí por el aire ni estando en la misma frecuencia, porque los formatos de paquete son distintos. Aun así, un puente puede llevar boletines de Meshbell a una radio Meshtastic, mediante un enlace escrito a partir del formato de mensaje publicado y sin nada del código del proyecto Meshtastic, y por eso nada de él está en la app.

Funciona solo en el puente y está apagado hasta que un operador lo active. Quienes usan la app Meshtastic de fábrica no ven nada: Meshbell viaja en un número de canal privado que su app no muestra. Es una manera de alcanzar a un vecino que ya lleva una radio Meshtastic, no una manera de hablar con la red Meshtastic en general.

Arquitectura

La lógica de dominio es pura y portátil. Se compila y se prueba en una Raspberry Pi sin hardware de Apple en el circuito, de modo que las partes que deciden si un mensaje es confiable se verifican de forma continua y no solo en el lanzamiento. La app de iOS es un renderizador delgado sobre ella.

• Canonical JSON, claves ordenadas y ASCII fijado, le da a cada dispositivo una preimagen idéntica byte a byte, de modo que una dirección de contenido calculada en un teléfono coincide con una calculada en un nodo.
• Firma y verificación Ed25519, una sola implementación en Apple y en Linux.
• Un registro de solo anexado y solo inserción. Los registros nunca se actualizan ni se eliminan, así que el historial, incluidas las correcciones, se conserva y se puede volver a comprobar.
• Una compuerta de conformidad entre lenguajes: las mismas tramas se decodifican con la app y con un nodo independiente en Python y se comprueban byte a byte, de modo que ambos no pueden divergir en silencio.

Límites honestos

Dicho con claridad, porque una herramienta de emergencia que se sobrevende es peligrosa.

• Meshbell es una beta temprana. Ha llevado un boletín firmado a través de radios LoRa reales y lo ha verificado en un teléfono. No sustituye a los servicios de emergencia oficiales, así que mantén activadas las alertas que ya tienes.
• El resultado del banco es un salto único. La retransmisión multisalto está diseñada e implementada, todavía no medida en el terreno, y ninguna cifra de distancia de este sitio está medida en banco.
• Los registros demasiado grandes para una sola trama se dividen, y el reensamblado de varios fragmentos todavía no se ha observado completarse en el teléfono en el banco. Un grupo incompleto se queda en vista previa y lo dice.
• Las claves de firma viven en el llavero de iOS, solo en este dispositivo. Son extraíbles por cualquier cosa que ya pueda leer el llavero de la app. Aquí no hay protección de enclave de hardware y no vamos a afirmar que la haya.
• Los registros van firmados, no cifrados. Meshbell no es mensajería privada. Da por hecho que cualquier cosa que salga al aire puede leerla quien esté a su alcance.
• La distribución de claves, es decir cómo tu dispositivo aprende qué clave pública pertenece a quién, es trabajo en curso. Una firma prueba la posesión de una clave. Vincular una clave a una persona real es un problema aparte y deliberado, resuelto hoy en persona.
• La recepción en segundo plano es real, pero no es una garantía. iOS puede detener la app, y una radio complementaria sirve a un teléfono a la vez, así que una radio que otro teléfono tiene tomada no está disponible para el tuyo.
• La capa de coordinación es no verificada por diseño y está separada del canal verificado de alertas firmadas. Es útil para la logística, nunca una fuente de instrucción oficial, y es solo de red local, así que alcanza a quien esté en el puente y no a la red en malla más amplia.
• Meshbell y las radios Meshtastic todavía no se escuchan entre sí por el aire, porque los formatos de paquete son distintos. Un puente puede llevar boletines a una radio Meshtastic mediante un enlace aparte, y ese enlace está apagado salvo que un operador lo active.

Volver al panorama general