Documentação

O Meshbell é um instrumento de emergência à escala do bairro. A verificação é o alicerce, não uma funcionalidade. Esta página diz como, e onde estão os limites.

Visão geral

No Meshbell, um aviso de perigo é um pequeno registo assinado. É nomeado pelo hash dos seus próprios bytes, assinado com uma chave de dispositivo, e nunca alterado. Uma correção é um registo novo que aponta para o antigo, o que permite que um aviso e a sua correção viajem juntos e permite que qualquer dispositivo volte a verificar tudo o que recebe.

O seu telefone tem duas ligações, e nenhuma precisa de internet

É este todo o modelo de conexão, e o separador Conexão da aplicação é onde vê as duas. A terceira linha abaixo não é sequer uma ligação do telefone: é o que os rádios fazem entre si, um salto mais para fora.

Toda a cadeia, de ponta a ponta: o seu telefone por Bluetooth até ao rádio de bolso que traz consigo, esse rádio por LoRa entre quarteirões até outro rádio, esse rádio até uma ponte, e a ponte por Wi-Fi até todos os telefones e todos os navegadores da rede do bairro.

As duas ligações alimentam um só diário e um só porta-chaves. Um registo que chega pelo ar e outro que chega por Wi-Fi caem no mesmo diário e recebem a mesma verificação. Desligar o rádio não trava a receção pela ponte, porque são caminhos separados para o mesmo sítio.

Tudo o que está acima da rede está construído de forma a que perder uma ligação, um servidor ou um modelo lhe custe uma anotação, nunca o alerta.

Qual destes é o seu caso?

Há três formas de estar preparado, e o resto desta página está escrito para as três. Encontre a sua, e leia primeiro as estações dela.

Apenas um telefone

Gratuito, e suficiente para receber. Ouve o que uma ponte ao alcance ou uma ligação à internet lhe puderem entregar, e não há nada no ar enquanto ninguém perto de si tiver um rádio. Leia a visão geral e o funcionamento offline, e depois as formas de se preparar na página inicial.

Um par de rádios

Cerca de $30 cada, um consigo e outro com um vizinho. É esse o troço longo: os dois alcançam-se por todo o bairro sem rede móvel, sem internet e sem nada pelo meio, e cada rádio que outra pessoa acrescentar repete-o mais longe. Leia rádios e equipamento e bandas de rádio por região.

Um anfitrião de ponte

Uma caixa sempre ligada, ~$50-80, que transforma o próprio Wi-Fi do bairro num centro de comunicações a que qualquer navegador se pode juntar, sem aplicação e sem conta. Leia configurar uma ponte, o que uma ponte pôs no ar e mais do que uma ponte.

O modelo de confiança

O Meshbell mantém duas perguntas separadas, porque são factos diferentes e é ao confundi-los que a má informação se espalha.

O segundo eixo tem deliberadamente três valores. Uma falsificação, verificada contra uma chave que possui e que falhou, não é o mesmo facto que uma chave desconhecida, para a qual ainda não há forma de verificar quem assinou. Juntá-los numa só palavra, «inválido», esconderia exatamente a distinção de que uma pessoa precisa. Uma mensagem só é guardada como fiável quando o porta-chaves diz verificado.

Verificado a partir do ar, sem cópia prévia

Uma trama de rádio curta é uma pré-visualização: um ponteiro para um registo, mostrado mas nunca tratado como fiável e nunca usado para inventar um corpo. Um registo também pode ser enviado por inteiro como um envelope autoautenticado, dividido por várias tramas e reagrupado do outro lado. Um dispositivo que nunca viu o registo antes pode então reconstruí-lo, voltar a derivar o seu endereço de conteúdo e verificar a assinatura, chegando a um veredicto verificado num bairro puramente de rádio, sem internet em ponto nenhum do circuito.

As tramas chegam sem autenticação por LoRa, e os fragmentos de um registo dividido não estão assinados em trânsito. Só o registo reagrupado é verificado. Um grupo incompleto di-lo e continua a ser uma pré-visualização.

A barreira de instruções

A única coisa que uma aplicação de emergência nunca pode fazer é transformar um rumor numa ordem. O Meshbell impõe isso na estrutura do código, não por disciplina de revisão.

• O ecrã que apresenta uma instrução, ou seja, o que fazer, não pode ser construído a partir de uma mensagem não verificada. O sistema de tipos recusa-o.
• O texto de orientação vem de um manual incluído na aplicação, versionado e indexado por identificador. Nunca vem de texto livre transmitido pelo ar e nunca de um modelo de linguagem. Um modelo pode resumir uma situação, em prosa, etiquetada como inferida. Não tem nenhum campo onde pôr um comando.
• Um alerta oficial retransmitido é mostrado como um vizinho a dar a cara, não como oficial. O veredicto di-lo por palavras: alerta oficial retransmitido, não tratado aqui como oficial.

A camada de coordenação

Os alertas verificados respondem ao que está a acontecer e a se pode confiar nisso. Um bairro em emergência tem também logística vulgar: quem está localizado, onde fica o abrigo, quem tem um gerador. O Meshbell transporta uma segunda camada, deliberadamente separada, para esse trabalho, nativa no separador Bairro da aplicação e num navegador para quem não tiver a aplicação.

O que contém

Porque é mantida à parte

Misturar notas mutáveis de vizinhos num diário de alertas assinado e apenas de acrescento estragaria os dois. Por isso o armazenamento de coordenação é uma coisa à parte: só de rede local, mutável, e servido pela ponte ao lado dos alertas verificados em vez de dentro deles. Um operador guarda um token de administração para arrumações, como limpar dados de teste ou podar um quadro descontrolado, e as rotas de administração falham fechadas sem ele. Publicar e marcar presença não precisam de credencial nenhuma. As duas camadas partilham um ecrã, nunca uma fronteira de confiança.

Funcionamento offline

A degradação é o estado esperado, não um erro. Quando um caminho de dados está em baixo, o Meshbell serve os últimos dados bons conhecidos etiquetados com a idade que têm, «de há 40 minutos», em vez de um vazio de aparência segura. O nível zero de modelo, um telefone antigo sem nada de esperto lá dentro, é um nível de produto de primeira classe. Uma aplicação de emergência que só funciona no equipamento mais recente falha com as pessoas que mais provavelmente vão precisar dela.

A receção continua enquanto o Meshbell está em segundo plano, e o iOS pode reiniciá-lo para lhe devolver uma ligação de rádio depois de ter sido fechado. Veja a escuta em segundo plano para saber o que isso cobre e o que não cobre. Nunca escutou com o telefone desligado, e não vai afirmar que o faz.

Rádios e equipamento

O Meshbell funciona só no seu telefone. Os rádios alargam o alcance quando a rede está em baixo. Uma rede em malha do bairro constrói-se com equipamento LoRa barato e comum, a correr o firmware aberto MeshCore.

Bandas de rádio por região

O seu telefone não tem nenhum rádio LoRa lá dentro, por isso nunca toca na banda. É o firmware do próprio rádio que detém essa definição. O Meshbell relê a sintonia do rádio quando se conecta, mostra-a, e diz com clareza quando o rádio não está no canal que a sua região usa.

910.525 MHz é a estação norte-americana. Cada região abaixo tem o seu próprio canal, colocado dentro da banda livre de licença que essa região permite. Onde a comunidade MeshCore publica um canal recomendado para um país, o Meshbell adota esse canal e as suas definições tal e qual, para que os repetidores MeshCore já instalados aí possam transportar boletins Meshbell. Onde a comunidade não publicou nenhum, o Meshbell escolhe um canal que fica afastado da parte mais movimentada da banda.

Salvo indicação em contrário na linha, um canal corre em sf7, cr 4/5 e bw 62.5 kHz. Uma linha que segue um canal MeshCore leva o que esse canal usar, e é por isso que várias mostram um fator de espalhamento ou uma taxa de codificação diferentes, e o Japão corre em bw 125 kHz para caber nas regras japonesas. Dois rádios só se ouvem quando a frequência, a largura de banda, o fator de espalhamento e a taxa de codificação coincidem todos.

Os rádios vêm em duas famílias, uma talhada para 902-928 MHz e outra para 863-870 MHz, e entre as duas cobrem todas as regiões desta lista, mas a banda de 470 MHz da China precisa de um chip de rádio diferente e de uma antena diferente, por isso não é uma definição para a qual se possa mudar.

Configurar uma ponte

Uma ponte é um nó sempre ligado no bairro, normalmente um Raspberry Pi, que transporta os alertas verificados e a camada de coordenação por Wi-Fi local para que o telefone ou o navegador de cada vizinho lhes chegue sem rede móvel e sem internet. É a segunda das duas ligações do telefone: o Bluetooth alcança um rádio de bolso, o Wi-Fi alcança uma ponte, e qualquer uma funciona sem internet nenhuma.

O Wi-Fi da própria ponte, para que um vizinho não precise de nada

Com um segundo adaptador Wi-Fi, a ponte cria a sua própria rede aberta, chamada meshbell- e depois a sua rua. É um beco sem saída de propósito: alcança a ponte e mais nada, nem a casa, nem a internet, nem os outros telemóveis nela. Um vizinho não precisa de aplicação e dá quatro passos. Ligue-se ao Wi-Fi cujo nome começa por meshbell-. Uma página abre sozinha, como a rede de um hotel abre a sua página de acesso; toque em Continuar. Se o telemóvel perguntar pela internet, toque em Usar sem internet, porque esta rede não tem, de propósito. Se fechar essa página, abra um navegador e escreva meshbell.lan. Configure a rede uma vez com sudo ./install-ap.sh --interface wlan1 --ssid meshbell-oak-st.

Se for o anfitrião, um vizinho preparado

O instalador vem incluído na aplicação e é exportado diretamente do seu telefone, por isso não se descarrega nada. Descompacte-o no Pi, corra o script de instalação, e ele mostra o endereço para distribuir. O nó arranca autossuficiente: serve os ecrãs de coordenação, uma aplicação web instalável para os vizinhos que só têm navegador, um código QR desse endereço, e uma vista de administração para arrumações. Anuncia-se na rede local como _meshbell._tcp, e é a aplicação que faz a descoberta. Não há nada para configurar à mão e nenhuma conta para criar.

Se for um vizinho que nunca ouviu falar de uma rede em malha

Ligue-se ao Wi-Fi do bairro e abra o separador Bairro. A aplicação procura a ponte sozinha e conecta-se. Quando a deteção precisa de ajuda, faz as perguntas simples, se esta é a rede certa e se a ponte está acordada, e oferece um campo de endereço manual. Se um computador consegue alcançar a ponte mas este telefone não, é quase sempre porque os dois estão em redes Wi-Fi diferentes.

Escuta em segundo plano

O telefone mantém a ligação de rádio enquanto o Meshbell está em segundo plano, e o iOS pode reiniciar o Meshbell para lhe devolver uma ligação depois de a aplicação ter sido fechada. São três coisas a funcionar em conjunto: o sistema preserva a ligação Bluetooth, a aplicação pede para ser restaurada com ela, e lembra-se de que queria o rádio conectado, para poder repetir o aperto de mão que o firmware exige em cada nova ligação.

O limite, dito com clareza. O iOS pode ainda assim parar a aplicação, e um rádio companheiro serve um telefone de cada vez, por isso um rádio que outro telefone esteja a usar não está disponível para o seu. A escuta em segundo plano também não sobrevive a um telefone desligado. O que muda é que um boletim que chega enquanto o telefone está no bolso é entregue em vez de ser perdido.

O que uma ponte pôs no ar

Dois factos que é fácil confundir num só: o rádio aceitou uma mensagem, e a mensagem saiu de verdade. O primeiro é o que um telefone fica a saber quando entrega tramas a um rádio companheiro. O segundo mede-se nos próprios contadores de transmissão do firmware do rádio, e só uma ponte os lê.

Uma ponte guarda um recibo de tudo o que transmite: o que saiu, quem o assinou, que ligação o transportou, em quantos pedaços foi cortado, o canal, e se os contadores confirmaram que saiu da antena. A aplicação mostra esses recibos no ecrã O que saiu quando uma ponte está conectada.

Texto simples de outros rádios

Os rádios MeshCore transportam mensagens de texto comuns entre pessoas que não usam o Meshbell. Uma ponte pode ouvir esse tráfego, e mantém-no rigorosamente separado do fluxo verificado. Fica marcado como sem assinatura, que é deliberadamente uma expressão diferente de não é possível verificar quem assinou: um boletim não verificado é um registo assinado cuja chave este dispositivo não possui, enquanto o texto simples não traz assinatura nenhuma.

As mensagens de canal não trazem chave do remetente, por isso um nome escrito dentro do corpo não é uma identidade e o Meshbell nunca o trata como tal. Este tráfego nunca é guardado, nunca aparece no fluxo verificado, nunca conta para corroborar nada e nunca pode tornar-se um alerta. A ponte informa quanto dele ouviu, e nada mais.

Rádios que assinam por si

Um rádio MeshCore possui a sua própria chave de assinatura e o firmware assina com ela. Quem opera uma ponte pode inscrever um rádio, depois de o rádio provar que possui a chave, e a partir daí esse rádio pode originar um boletim assinado sem nenhum telefone envolvido: um botão de pânico junto à porta, ou um sinalizador que comunica uma condição.

Um dispositivo assina como dispositivo. Vale como sinal, nunca como aprovador, porque uma caixa não é uma pessoa e ter um rádio não é o mesmo que ter a chave de alguém. Em todos os pontos em que a aplicação mostra quem assinou um registo, um registo assinado por um dispositivo di-lo.

Mais do que uma ponte

O seu telefone no meio de várias pontes

Um bairro pode acabar com mais do que uma ponte. A aplicação reúne todas as pontes que consegue descobrir, prefere a que responde melhor e passa para outra quando a atual se cala. Um endereço que escreveu à mão ganha sempre a um que foi descoberto.

Pontes ligadas umas às outras

Duas pontes que se alcançam numa rede partilham o que ouviram, por isso o bairro ao lado junta-se sem que ninguém volte a inserir nada. Uma ponte ligada não é de confiança por conceção: tudo o que entrega passa pela mesma verificação de assinatura que qualquer outra coisa antes de ser guardado, por isso uma ponte parceira maliciosa pode gastar o disco de uma ponte e nunca pode pôr um boletim falso à frente de um vizinho.

Os vizinhos ligam as pontes pelas formas comuns: um segundo adaptador Wi-Fi no Pi, uma rede de convidados da casa ao lado, ou um par de antenas Wi-Fi direcionais entre dois telhados.

Alcançar rádios Meshtastic

O Meshtastic é a outra rede em malha LoRa muito usada, e os dois firmwares não se ouvem pelo ar nem na mesma frequência, porque os formatos dos pacotes são diferentes. Mesmo assim, uma ponte pode levar boletins do Meshbell até um rádio Meshtastic, através de uma ligação escrita a partir do formato de mensagens publicado e sem nenhuma linha de código do projeto Meshtastic, e é por isso que não há nada dele dentro da aplicação.

Funciona só na ponte e está desligada até um operador a ligar. Quem usa a aplicação Meshtastic original não vê nada: o Meshbell viaja num número de canal privado que essa aplicação não mostra. É uma forma de alcançar um vizinho que já anda com um rádio Meshtastic, não uma forma de falar com a rede Meshtastic em geral.

Arquitetura

A lógica de domínio é pura e portável. Compila e é testada num Raspberry Pi sem equipamento da Apple no circuito, por isso as partes que decidem se uma mensagem é de confiança são verificadas continuamente e não apenas na altura de lançar. A aplicação iOS é um apresentador fino por cima dela.

• JSON canónico, com chaves ordenadas e ASCII fixo, dá a cada dispositivo uma pré-imagem idêntica byte a byte, de modo que um endereço de conteúdo calculado num telefone corresponde a um calculado num nó.
• Ed25519 para assinar e verificar, uma só implementação em Apple e Linux.
• Um diário apenas de acrescento, só de inserção. Os registos nunca são atualizados nem apagados, por isso o histórico, incluindo as correções, é preservado e pode voltar a ser verificado.
• Um controlo de conformidade entre linguagens: as mesmas tramas são descodificadas pela aplicação e por um nó Python independente e comparadas byte a byte, para que as duas não possam divergir em silêncio.

Limites assumidos

Dito com clareza, porque uma ferramenta de emergência que se sobrevende é perigosa.

• O Meshbell é uma beta inicial. Já transportou um boletim assinado através de rádios LoRa reais e verificou-o num telefone. Não substitui os serviços de emergência oficiais, por isso mantenha ativados os alertas que já tem.
• O que está provado em bancada é um único salto. A retransmissão de vários saltos está concebida e implementada, ainda não medida no terreno, e nenhum número de distância neste sítio foi medido em bancada.
• Os registos grandes demais para uma trama são divididos, e ainda não se observou em bancada o reagrupamento de vários fragmentos a concluir-se no telefone. Um grupo incompleto continua a ser uma pré-visualização e di-lo.
• As chaves de assinatura vivem no porta-chaves do iOS, só neste dispositivo. São extraíveis por qualquer coisa que já consiga ler o porta-chaves da aplicação. Não há aqui proteção por enclave de hardware e não vamos afirmar que há.
• Os registos são assinados, não cifrados. O Meshbell não é mensagens privadas. Parta do princípio de que tudo o que vai para o ar pode ser lido por qualquer pessoa ao alcance.
• A distribuição de chaves, ou seja, como o seu dispositivo aprende que chave pública pertence a quem, é trabalho em curso. Uma assinatura prova a posse de uma chave. Ligar uma chave a uma pessoa real é um problema separado e deliberado, resolvido hoje pelo encontro em pessoa.
• A receção em segundo plano é real, mas não é uma garantia. O iOS pode parar a aplicação, e um rádio companheiro serve um telefone de cada vez, por isso um rádio que outro telefone esteja a usar não está disponível para o seu.
• A camada de coordenação é não verificada por conceção e separada do canal verificado dos alertas assinados. É útil para a logística, nunca uma fonte de instrução oficial, e é só de rede local, por isso alcança quem estiver na ponte e não a rede em malha mais larga.
• O Meshbell e os rádios Meshtastic continuam a não se ouvir pelo ar, porque os formatos dos pacotes são diferentes. Uma ponte pode levar boletins até um rádio Meshtastic através de uma ligação separada, e essa ligação está desligada a não ser que um operador a ligue.

Voltar à visão geral