Tartalomjegyzék
- Nem sokkal nyolc előtt, kedd este
- Mit lát egy Repeater, és mit nem
- Mennyi volt ez valójában?
- Egy este a csoportban
- Nyomozók korlátokkal
- A harmadik éjszaka: egy felirat a térképen
- Megszegte a küldő a szabályokat?
- Ki olvas vele, és ki vádaskodik
- És éles helyzetben?
- A teszt, és amit megmutatott
- Amit érdemes megtanulni
- Átláthatósági megjegyzés
A legfontosabb előre: a hálózat kitartott. Három napon át spammel és hamis csomópontokkal árasztották el a karintiai MeshCore-hálózatot, és tovább működött. Én ezt olyan tesztnek látom, amelyet így soha nem rendeltem volna meg, és amelyen a hálózat mégis átment. Itt elmesélem, mi történt, az egyik üzemeltető szemszögéből.
Nem sokkal nyolc előtt, kedd este
November 10-én 19:37-kor kezdődött. A karintiai MeshCore-hálózatban olyan üzenetek jelentek meg, amelyeket ember ilyen gyorsan nem tud begépelni: a nyilvános csatornán és négy hashtag-csatornán, csúcsidőben percenként 19, vagyis három másodpercenként egy. 00:35-ig 471 üzenet érkezett kilenc állandó eszköznévtől.
Aztán csend lett. Az éjszaka és a délelőtt folyamán a hálózat úgy működött, mintha misem történt volna.
Szerdán 17:12-kor újra kezdődött, ezúttal egy trükkel. Az eszköz neve minden egyes üzenet után megváltozott. Alig két óra alatt, 19:16-ig, 377 üzenet érkezett 261 különböző néven, mindössze hét alapnévből, óránként 116-163 új névvel. Aki ezt el akarja rejteni, az tiltólistával nem jut messzire.
Ezt nem egyetlen ember vette észre. Az egész hálózat észrevette. Aki nyitva tartotta a nyilvános csatornát, látta átfutni az üzeneteket.
A szövegben szereplő összes időpont KEI, az alábbi grafikon UTC-ben van. A számok a nyilvános térkép csomagjaiból származnak, kiszámítottak, nem rádión mért értékek.
Mit lát egy Repeater, és mit nem
Miért nehéz ez ellen védekezni? Mert egy MeshCore-Repeater szinte semmit sem tud.
A csatornaüzenet titkosított. A Repeater látja a csomag fejlécét, az eddigi útvonalat és a csatorna hash-ét. A tartalmat, a nevet és a küldőt nem látja. A csomagot továbbítja, mint bármelyik másikat.
Ezt a továbbítást hívják Flood-nak: minden Repeater, amely hallótávolságon belül van, megismétli a csomagot, a szomszédai újra megismétlik, amíg mindenhová el nem ér. Ettől lesz egy rögzített útvonalak nélküli hálózat robusztus. Ettől lesz sebezhető is. A CarinthiaMesh rádióparamétereinél (SF8, 62,5 kHz, CR8) egy körülbelül 109 bájtos csomag továbbításonként nagyjából egy másodpercnyi adásidőt foglal, és mindegyik levegőt vesz el mindenkitől, aki hatótávolságon belül van.
Mennyi volt ez valójában?
Egy átlagos nap így néz ki a hálózatban: átlagosan körülbelül 180 Flood-csomag óránként. Az első hullám csúcsán (november 11-re virradó éjszaka, 00 és 01 óra között) 390 volt, ebből 243 a küldőtől, vagyis 62 százalék. A második hullám csúcsán (november 11., 18 és 19 óra között) 348 volt, ebből 200, vagyis 57 százalék.
A Repeaterek terhelése ezzel nagyjából megduplázódott, és a hálózat ezt könnyedén kibírta: a normál csatornaforgalom tovább futott, mind a hat Observer aktív maradt, és a hálózat használható maradt. Stressztesztként ez jó jel volt.
Még valami feltűnő volt a második hullám útvonalaiban. Egyetlen Observer sem hallott két Hopnál kevesebbet megtett csomagot. Az útvonalak 40 százalékában ugyanaz a Repeater kétszer szerepelt, a többi forgalomnál ez 13 százalék. Az első Hopok pedig egyenletesen oszlottak el sok Repeater között egész Karintiában. Ez előre kitöltött, hamisított útvonalaknak látszik. A csoportban egy üzemeltető ugyanígy látta: a küldő néhány álhopot ír a fejlécbe, hogy megzavarjon. A helymeghatározáshoz ezek az útvonalak ezzel értéktelenek.
Egy este a csoportban
Miközben a második hullám tartott, a Kärnten Funkt MeshCore-csoportban lejátszódott az, ami ilyen pillanatokban mindig: először düh, aztán ötletek, aztán munka.
A düh valódi volt. Valaki azt mondta, hogy amíg ez így megy tovább, gyakorlatokra gondolni sem érdemes. Egy másik azt javasolta, hogy az egész országban kapcsolják le a Repeatereket, hogy a küldőnek elmenjen a kedve.
Aztán konkrétra fordult a dolog, és a társaság tisztázott néhány dolgot, amelyet minden kezdőnek tudnia kell:
- A saját kliensben blokkolni csak a saját kijelzőt rendezi. A csomagok tovább futnak a hálózaton, és eszik az adásidőt. És mivel a név folyton változik, nincs mire szűrni.
- A küldőt nem lehet kizárni. Csak azokat a pontokat lehet leválasztani a hálózatról, amelyeken keresztül bejut. Csakhogy akkor mindenki más is kint reked.
- Lekapcsolni nem azt jelenti, hogy kikapcsolni. Azt jelenti, hogy a továbbítást kapcsoljuk ki (
set repeat off). A Repeater elérhető marad, csak már nem visz tovább semmit a hálózaton. Ezt is röviden tisztázták, hogy mindenki ugyanazt csinálja.
Aztán cselekvésre került sor. Először egy Spittal környéki belépési ponton esett ki a továbbítás. Aztán én kapcsoltam ki a Dobratschon, a Karintia déli és nyugati része meg a többi között lévő csomóponton, és végül a keleti Koralpén esett ki, hogy az áradat ne futhasson ki a Lavanttal-ágon át Ausztria többi része felé. Egy üzemeltető egész éjszakára levette a Repeaterét a hálózatról. Nem sokkal a kikapcsolás után csend lett, hogy ez véletlen volt-e vagy hatás, nem tudjuk. És nem maradt csend: később este üzemeltetők jelentették, hogy újra kezdődött. Ez a szakasz nem szerepel a cikk számaiban.
Az összes Repeater ezután újra üzembe állt. Aki a belépési pontnál kapcsol le, az mindenki más elől elveszi az utat a hálózatba, ez az ára. Az ebből a mérlegelésből született tervet a wikiben lehet megtalálni: wiki.carinthiamesh.com/flood-abwehr (hurkok felismerése, Hop-korlát, duty cycle, vészkapcsoló, a küldő megtalálása).
Nyomozók korlátokkal
Ezzel párhuzamosan üzemeltetők elkezdték bekeríteni a küldőt. Ketten összefogtak. Az egyik az estétől kezdve minden csomagot naplózott az összes metaadattal, és az adatokat felajánlotta mindenkinek, aki saját kiértékeléseket akart készíteni. Mások SDR-rel és 869 MHz-es irányított antennával történő iránymérésen gondolkodtak.
Aztán jött a kérdés, hogy a vételi erősségből le lehet-e olvasni távolságot. A társaság válasza: nem megbízhatóan. A jel-zaj viszony a helyi zajtól is függ, a vételi teljesítmény (RSSI) lenne a jobb érték. Egy üzemeltető egy napon 18 kilométerre lévő Repeatert erősebbnek mért, mint egy 8 kilométerre lévőt, mindkettő szabad rálátással. Mások olyan Repeaterekről számoltak be, amelyeket kis távolság ellenére sem hallani, mert egy domb áll az útban, és olyan útvonalakról, amelyekben olyan Repeaterek bukkantak fel, amelyek valójában nem hallhatnák egymást. Ez egybevág azzal, amit már sejtünk: az útvonal valószínűleg hamis volt. A háromszögelés, a következtetés szerint, nehezebb, mint gondoltuk.
Hogy ki az, azt ezért nem tudjuk.
A harmadik éjszaka: egy felirat a térképen
Aztán jött a csütörtök, és vele egy meglepetés, amelynek az üzenetekhez semmi köze nem volt. November 12-re virradó éjszaka a térképen hirtelen 190 új csomópont jelent meg, amelyek pozíciói együtt egy feliratot adtak Karintiától északra.
A tények: 01:39-től 02:06-ig, körülbelül 27 percen át 356 Advert-csomag érkezett, percenként legfeljebb 24, 190 különböző néven. 90 név egyetlen Advert-tel szerepelt, a többi kettőtől ötig. A csomagok normál Floodként futottak át az összes Repeateren, átlagosan 124 bájt hosszúak voltak, és öt Observer hallotta őket. Utána nem jött több.
A kár: a térkép hamis, amíg a csomópontok hét nap után ki nem esnek. A rádióforgalomnak alig ártott, 356 csomag fél óra alatt a hálózatnak elviselhető. Hogy ugyanaz a küldő áll-e mögötte, mint az üzenetáradatok mögött, nyitott kérdés.
Megszegte a küldő a szabályokat?
A csoportban valaki megkérdezte, hogy a küldő ezzel megszegett-e szabályokat. Ehhez tudni kell, mi érvényes egyáltalán a mi sávunkban.
A MeshCore Európában a 869 MHz-es sávban működik, amely kis hatótávolságú eszközök (Short Range Devices) sávja. Engedély nélkül használható, de nem feltételek nélkül. Ausztria az osztrák frekvenciahasználati rendeletben 2013 (FNV 2013) a kis hatótávolságú eszközökről szóló 2006/771/EK uniós határozatra hivatkozik. A 869,4-869,65 MHz tartományra ott ez érvényes: legfeljebb 500 mW adóteljesítmény (ERP, effektív sugárzott teljesítmény), és vagy frekvenciahozzáférési és zavarcsökkentő technikák, vagy legfeljebb 10 százalékos duty cycle. A rendelet az ilyen előírásokat a „használati feltételek" oszlopban sorolja fel.
A duty cycle (kitöltési tényező / duty cycle) az az időarány, amely alatt egy egyedi eszköz ténylegesen ad, egy folyamatos órán át mérve. Egy óra 10 százaléka 360 másodperc adásidő. A mi rádióparamétereinknél és csomagonként körülbelül egy másodperccel ez nagyjából 360 csomag óránként és eszközönként.
Mit jelent ez a gyakorlatban:
- Az óra alatti összeg számít, nem a sebesség. Aki rövid ideig nagyon gyorsan ad, aztán hosszú szünetet tart, a határon belül maradhat.
- A határ minden adó eszközre külön érvényes, a Repeaterekre is. A továbbított csomagok is adásidőnek számítanak.
- A határ az adásidőt szabályozza, nem a tartalmat. A spam lehet a határon belül, és mégis idegesítő.
- Csak aki a 10 százalék fölé megy, az sérti meg a sáv használati feltételeit. Alatta nem kívánatos, de nem szabálysértés.
Aztán a számítás. Azokkal a csomagokkal számolunk, amelyeket az Observereink hallottak, és csomagonként 1,0-1,17 másodperc adásidővel. A határ óránként 10 százalék, vagyis 360 másodperc. Küldőnek egyetlen eszközt feltételezünk. Azt gyanítjuk, hogy valóban csak egy állt mögötte, bizonyítani nem tudjuk.
- 1. hullám: a csúcsórában 243 csomag, körülbelül 243 másodperc adásidő, vagyis nagyjából 6,8 százalék.
- 2. hullám: a csúcsórában 200 csomag, körülbelül 200 másodperc, vagyis nagyjából 5,6 százalék.
- A harmadik éjszaka Advertjei: 356 csomag 27 perc alatt, körülbelül 404-416 másodperc, vagyis az óra nagyjából 11 százaléka, a legrosszabb tíz percben pedig akár körülbelül 37 százalék adásidő.
Ez becslés, nem mérés: azok a csomagok, amelyeket egyetlen Observer sem hallott, hiányoznak, a valódi adásidő tehát magasabb lehet. Ha több eszköz adott, mindegyik egyenként alatta maradt. A két üzenetáradat ezzel a 10 százalék alatt maradt. Az Advertek fölötte voltak, ha egyetlen eszköz adta őket.
A következtetésem: a Repeater-hálózatnak magának kell kialakítania az ellenálló képességét. Hatóság ebben aligha fog segíteni, kivéve, ha a frekvenciahasználat kérdésévé válik.
Ki olvas vele, és ki vádaskodik
Több üzemeltetőnek az volt az érzése, hogy a küldő együtt olvas a Telegram-csoportban. Bizonyítani ezt senki sem tudja, és egy nyílt csoportból úgysem lehet senkit kizárni.
Nekem itt egy pont fontos: a vádaskodásnak, közvetlenül vagy közvetve, sem a meshben, sem a csoportban nincs helye. Bárki bármilyen eszköznevet adhat magának. Egy név semmit sem mond arról, aki mögötte áll.
A nyilvános csatornán a második hullám alatt mégis megtörtént. Ott arról találgattak, hogy ki áll az üzenetek mögött, és karintiai rádióamatőrök egy csoportját általánosan megvádolták egy eszköz miatt, amely mögött a neve alapján egy rádióamatőr állhatna. Hogy valójában ki áll mögötte, és köze van-e az áradathoz, azt senki sem tudja megmondani.
Később a csoportban újra célozgatások jöttek, itt is bizonyíték nélkül. Az a benyomásom, hogy ugyanattól a hangtól származnak.
Lehetségesnek tartom, hogy éppen ez a cél. Egy áradat, amely az üzemeltetőket egymás ellen hangolja, többet árt, mint az, amely csak adásidőt visz el.
És éles helyzetben?
Az a kérdés, amelyet az áradat után a csoportban a leghangosabban tettek fel, a legkellemetlenebb. Egy üzemeltető arra mutatott rá, hogy a MeshCore inkább a lakosság hálózata, mint a beavatkozó erőké. Ha a mobilhálózat kiesik, így a félelem, az üzenetek száma hirtelen megugrik, és a hálózat terhelt lesz, minden rossz szándék nélkül.
November 13. és 15. között Karintiában zajlik a Combined Success katasztrófavédelmi gyakorlat, amelyet Karintia tartomány és a szövetségi hadsereg 2009 óta rendez. Amennyire tudom, ezúttal egy földrengést játszik végig, és rádióamatőrök továbbítanak jelentéseket 2 m-en és 70 cm-en. A MeshCore ebben eddig nincs benne. Rákérdeztem az érintetteknél, és azt javasoltam, hogy a jövőben gondoljanak rá is.
Ebből számomra az következik: a hálózatban gyakorolnunk kell, hogyan adunk éles helyzetben, meghatározott csatornákkal és világos megállapodásokkal. Egy javaslat a társaságtól: a széles Scope-okat (*, Európa, Ausztria) vegyük le a Repeaterekről, és csak helyileg dolgozzunk. Én bevetném ezt, amint megint történik valami. Az összes Repeateren összehangoltan megvalósítani a tényleges munka, és éppen ezt kellene gyakorolnunk, ahelyett hogy éles helyzetben tanulnánk meg.
A teszt, és amit megmutatott
Ezt a három napot tesztnek látom, és jól sült el. Az áradatot, a hamis csomópontokat és a hamisított útvonalakat a hálózat könnyedén kibírta, a többi forgalom tovább futott. Legalább annyira fontos volt a technikánál az, ami közöttünk, mesherek között történt: gyorsan egyeztettünk, anélkül hogy bárkinek döntenie kellett volna. E napok végén egyikünk rögzítette, hogy összetartunk és együtt dolgozunk. Ehhez kevés hozzáfűznivaló van. Nálunk, mesherek között mindenki részt vesz, akinek van egy eszköze, egyesületben vagy magánemberként, és ez az igazi védelem. Egyedül a technika itt keveset segített volna.
A teszt azt is megmutatta, min kellene dolgoznunk: egységes minimális védelem az összes Repeateren, begyakorolt menet éles helyzetre, és több Observer, amely megosztja az adatait.
És a felhajtás kellős közepén csütörtök délben jött a csoportból egy kérdés, amely egészen másképp hangzott: mit gondolnak egy Feldkirchen melletti Repeaterről, közvetlen rálátással a Magdalensbergre és fel Ossiachra? Azt válaszoltam: jó ötlet, és megkérdeztem, van-e már hozzá helyszín, vagy egyelőre csak az ötlet, és milyen hardverre lenne szükség.
A hálózat tovább növekszik.
Amit érdemes megtanulni
Teendők támadás esetén hat lépésben
- A helyzetet számlálásokkal igazolni, üzenettartalmak nélkül.
- Az üzemeltetőket tájékoztatni, és egyelőre semmit sem átállítani.
- Egységes minimális védelem az összes Repeateren.
- A belépési pontot határidővel lekapcsolni (
set repeat off), ha szükséges. - A forrást leszűkíteni, megszólítani, nem pellengérre állítani.
- Utána dokumentálni.
Mi működik, mi nem
- Egy privát csatorna a tartalmat védi, de az áradat ellen nem.
- Egy Scope rendez, de nem véd, mert a kód kiszámítható a régió nevéből.
- Az útvonalak és a vételi erősségek a helymeghatározáshoz csak támpontot adnak, nem nyomot, főleg hamisított fejléceknél nem.
- Csak azok az intézkedések hatásosak, amelyek korlátozzák a Floodok mennyiségét és kiterjedését. Éles helyzetben ez a továbbítás határidős lekapcsolása a belépési pontnál, azzal az árral, hogy ott mindenki más kint reked.
Felhívás
- Más neveket ne olvassunk gyanúokként, és sehol se vádoljunk bizonyíték nélkül.
- A hálózat senkié egyedül. A közösség megállapodásaiból él, például az eszközök elnevezésénél. Aki részt vesz, betartja ezeket, és nem tünteti fel a hálózatot a sajátjaként.
- A Repeatereket egységesen konfigurálni, és a firmware-verziót láthatóvá tartani.
- Saját Observereket üzemeltetni és megosztani az adatokat: aki naplózza a csomagokat, később igazolni tudja, mi történt.
- Aki betartja az adóteljesítményt és a duty cycle-t, a szabályokon belül jár el, és egy hálózat mégis szenvedhet. Ezért van szükség megállapodásokra.
73, Michi OE8YML
Átláthatósági megjegyzés
Ezt a cikket MI (Claude, Anthropic) támogatásával írtam és ellenőriztem, a saját kiértékeléseim és az üzemeltetői csoportban szerzett megfigyelések alapján. Minden szám a nyilvános térkép (map.carinthiamesh.com) csomagjaiból van kiszámítva, nem rádión mérve, az adásidők a megadott feltevések melletti becslések. A cikk nem tartalmaz üzenettartalmakat, kulcsokat és magánszemélyek pozícióit. Hogy ki áll az üzenetek és a hamis csomópontok mögött, azt nem tudni. A két címképet MI generálta, és csak illusztrációként szolgálnak. Javításokat és kiegészítéseket szívesen fogadok a következő címen: [email protected].
