Punkt na mapie wygląda przekonująco: ma nazwę, współrzędne i identyfikator. Łatwo uznać, że właśnie tam stoi czyjeś radio. W praktyce trzeba jeszcze wiedzieć, skąd aplikacja dostała te informacje i co sprawdziła przed ich wyświetleniem.

Pozycja jest informacją przesłaną przez urządzenie

Meshtastic pozwala wymieniać krótkie wiadomości i pozycje przez LoRa, czyli łączność radiową o niewielkim zapotrzebowaniu na energię. Współrzędne mogą pochodzić z odbiornika GPS w radiu lub ze sparowanego telefonu. Można też ręcznie ustawić stałą pozycję, przydatną choćby dla urządzenia zamontowanego na stałe.

To oznacza, że nawet poprawnie działający węzeł nie musi wysyłać świeżego pomiaru GPS. Przy włączonej stałej pozycji korzysta z zapisanych współrzędnych. Dokumentacja opisuje również okresowe rozsyłanie lokalizacji i mechanizm częstszych aktualizacji podczas przemieszczania się. Wyświetloną lokalizację trzeba więc umieć odczytać. Sama dokładność narysowanego punktu nie mówi jeszcze, jak tę lokalizację ustalono.

MeshCanvas tworzy punkty do eksperymentów

MeshCanvas z repozytorium Electronic Cats zamienia kształty na syntetyczne węzły Meshtastic, układając z nich wzory na mapie. Samodzielnie buduje ramki protokołu, a nadaje przez CatSniffer v3, czyli płytkę USB od Electronic Cats z układem radiowym LoRa SX1262.

Domyślny tryb dry-run przygotowuje pakiety i oblicza czas zajęcia kanału bez nadawania. Pozostałe przewidują MQTT i transmisję radiową. Narzędzie służy do badania pozycji oraz NodeDB, czyli bazy informacji o węzłach, we własnym środowisku.

Czego autorzy jeszcze nie potwierdzili

Autorzy potwierdzili nadawanie i przechwycenie ramek we własnych sieciach. Odbiór, odszyfrowanie i wyświetlenie syntetycznych urządzeń na mapie standardowego węzła Meshtastic pozostają osobno niepotwierdzone.

MeshCanvas jest więc wciąż eksperymentem. Z jego dokumentacji nie wynika, że w ten sposób da się oszukać każdą mapę i każdą wersję Meshtastic.

Szyfrowanie i potwierdzenie nadawcy to różne sprawy

Dokumentacja Meshtastic wyjaśnia, że wiadomości kanałowe korzystają ze wspólnego klucza. Klucz domyślnego kanału jest publicznie znany, więc nie zapewnia prywatności. Własny klucz ogranicza grono osób mogących czytać wiadomości, ale sam fakt odszyfrowania pakietu nie rozstrzyga jeszcze, które urządzenie go nadało.

Znaczenie mają także wersja oprogramowania i ustawienia. Aktualna dokumentacja opisuje podpisy rozgłoszeń od firmware 2.8 oraz dodatkową ochronę integralności wiadomości kanałowych AES-CCM od wersji 2.8.1. To jednak wciąż wersja alfa, czyli testowa; wcześniejsze wersje rozgłoszeń nie podpisują. Co sprawdzić przed przejściem na 2.8, opisaliśmy w artykule „Meshtastic 2.8 Alpha: co sprawdzić przed migracją węzła”. Podpis pomaga sprawdzić nadawcę. AES-CCM, włączony na wszystkich węzłach kanału opcją Use AEAD, odrzuca pakiety zmienione albo podrobione przez kogoś, kto nie zna klucza kanału. Na domyślnym kanale, którego klucz jest publiczny, ta ochrona więc nie pomaga. Domyślna polityka podpisów dopuszcza jednak również pakiety niepodpisane, by zachować współpracę ze starszymi urządzeniami.

Przy podobnych demonstracjach liczą się więc dwie rzeczy: jakie zabezpieczenia miał konkretny pakiet i co odbiornik z nimi zrobił.

Mapa internetowa ma dodatkowe źródło danych

MQTT to mechanizm przekazywania wiadomości przez serwer. W Meshtastic może łączyć lokalną sieć radiową z internetem. Osobna funkcja raportowania mapowego wysyła do serwera informacje przeznaczone dla obsługujących je map internetowych, między innymi nazwę, identyfikator i pozycję węzła. Precyzja takiej pozycji jest konfigurowalna.

Mapa w aplikacji połączonej z własnym radiem to co innego niż internetowa mapa zbierająca raporty. Punkt na tej drugiej nie dowodzi, że ktoś odebrał to urządzenie bezpośrednio przez radio w naszej okolicy. Przy ocenie konkretnego wpisu trzeba ustalić pochodzenie danych oraz reguły używane przez dany serwis. Z kolei brak punktu nie wystarcza, by stwierdzić brak urządzenia: raportowanie mapowe jest osobną funkcją wymagającą włączenia.

Eksperyment powinien pozostać we własnym laboratorium

Testy powinny dotyczyć własnego sprzętu i kontrolowanego kanału. Syntetyczne wpisy w publicznej sieci zaśmiecają bazy i zajmują czas radiowy. Początek to tryb bez nadawania; próby radiowe wymagają odizolowanego stanowiska.

Dla zwykłego użytkownika najważniejszy jest nawyk sprawdzania informacji z mapy. Gdy od położenia węzła zależy spotkanie lub plan łączności, trzeba je potwierdzić drugim sposobem. Można zapytać właściciela urządzenia, czy wskazana lokalizacja jest aktualna, i ustalić, czy patrzymy na dane odebrane lokalnie, czy na raport z internetu.

Artykuł powstał na podstawie repozytorium MeshCanvas oraz dokumentacji Meshtastic dotyczącej pozycji, szyfrowania i MQTT. Stan dokumentacji sprawdzono 16 października 2026 roku.