Resumen Técnico: Protocolo de Transporte Soberano Federado (FSTP)

Declaración del Problema

Los protocolos de redes federadas existentes (por ejemplo, ActivityPub, Matrix) permiten la coordinación descentralizada, pero dependen de la política del operador en lugar de restricciones estructurales para imponer el confinamiento de datos. En estos sistemas, aunque se definen los formatos de mensajes y la semántica de entrega, no existe un mecanismo que impida que un servidor conforme emita datos internos (por ejemplo, registros de deliberación, votos de miembros) hacia la federación. En consecuencia, la privacidad de los datos para los participantes institucionales —como sindicatos, partidos políticos o empresas reguladas— depende de la confianza en el cumplimiento de la política por parte del operador y no del protocolo en sí mismo. Además, los modelos de identidad actuales suelen depender de identificadores resolubles globalmente, lo que conduce al "colapso de contexto", donde distintos contextos sociales o institucionales se aplanan, permitiendo la correlación trans-contextual de identidades de usuario. Finalmente, las arquitecturas de registro lineal (por ejemplo, blockchains) tienen dificultades para reconciliar el requisito de pistas de auditoría inmutables con las obligaciones legales de eliminación de datos (por ejemplo, GDPR), ya que la eliminación de datos rompe la integridad de la cadena de hashes.

Metodología

El artículo presenta el Protocolo de Transporte Soberano Federado (FSTP), una frontera de sincronización y una capa de transporte diseñada para redes federadas con requisitos de privacidad heterogéneos. La metodología se basa en tres núcleos fundamentales:

1. El Agente de Sincronización (SA):

   • Actúa como la interfaz exclusiva entre el almacén de datos internos de un nodo ($D_{raw}$) y la red federada ($D_{pub}$).
   • Confinamiento en Tiempo de Compilación: Implementado en Rust, el SA impone el confinamiento de datos mediante el sistema de tipos. Utiliza una enumeración cerrada (FstpMessage) que representa únicamente los tipos de salida autorizados. Debido a que Rust requiere un emparejamiento de patrones exhaustivo y los tipos de datos internos no son miembros de esta enumeración, el compilador rechaza estáticamente cualquier ruta de código que intente construir un mensaje de federación a partir de datos internos brutos. Esto transforma el confinamiento de datos de una verificación en tiempo de ejecución a una garantía estructural en tiempo de compilación.
   • Máquina de Estados: El agente transiciona a través de estados (inactivo, validando, componiendo, transmitiendo, registrando). Cualquier violación de la invariante de confinamiento ($m \cap D_{raw} = \emptyset$) dispara una ruta de error que registra la violación y reinicia el agente.

2. Modelo de Identidad Contextual:

   • Aborda el problema de la correlación de contextos. Cada entidad posee una Identidad Global (GII) pero deriva una Identidad Contextual (CII) única para cada relación de federación utilizando una función unidireccional parametrizada por el contexto de la relación.
   • Desvinculación Estructural: La CII es estable dentro de una relación específica, pero no puede vincularse a la GII ni a otras CIIs en otras relaciones sin la cooperación de la entidad. Esto evita estructuralmente el colapso de contexto.
   • Divulgación Mínima: Las credenciales verificables se presentan bajo la CII específica, divulgando solo las afirmaciones necesarias para esa interacción.

3. Sustrato de Eventos Blocklace:

   • Reemplaza los registros lineales de solo adición con un grafo acíclico dirigido (DAG) criptográfico de bloques firmados.
   • Orden Parcial: Permite que eventos concurrentes existan como ramas paralelas sin serialización forzada, preservando la estructura temporal de las decisiones distribuidas.
   • Compatibilidad con la Eliminación: El Blocklace almacena punteros de hash a los eventos en lugar de los eventos mismos. Para satisfacer las obligaciones de eliminación de datos, el contenido se elimina del almacén de datos, dejando un "puntero colgante" (la estructura del bloque permanece intacta con su hash original). Esto preserva la evidencia de manipulación de la cadena de hashes mientras se elimina el contenido sensible.
   • Eficiencia: La sincronización ocurre mediante el intercambio de fronteras. El costo es proporcional a la diferencia simétrica ($\Delta$) entre los estados de los nodos, independientemente del tamaño total del historial ($N$).

Contribuciones Clave

• Confinamiento de Datos Estructural: El artículo demuestra que el confinamiento de datos puede ser impuesto por el propio protocolo en lugar de por la política del operador. Al aprovechar el sistema de tipos de Rust, el FSTP garantiza que los datos internos brutos no puedan ser emitidos, incluso por un par adversario pero conforme.
• Prueba Sin Exposición: El protocolo permite que un participante de la federación verifique que un proceso ocurrió, que una credencial es auténtica y que un resultado no está corrompido sin acceder a los datos internos que produjeron dichos artefactos.
• Resolución del Conflicto de Eliminación-Integridad: El mecanismo de "puntero colgante" de Blocklace proporciona una solución estructural a la incompatibilidad entre las pistas de auditoría inmutables y los derechos de eliminación de datos, una limitación inherente a los diseños de registros lineales.
• Aislamiento Contextual: El protocolo evita estructuralmente la correlación de identidades a través de diferentes relaciones de federación, abordando un fallo fundamental de privacidad en los sistemas federados existentes.

Resultados

El artículo presenta evaluaciones empíricas de la implementación de referencia (escrita en Rust) para validar las afirmaciones de eficiencia del sustrato Blocklace:

• Costo de Emisión: El tiempo para generar deltas de sincronización (sync_delta) escala linealmente con la diferencia simétrica ($\Delta$). El rendimiento se mantiene estable en aproximadamente 2.3 Melem/s, independientemente del tamaño de $\Delta$.
• Independencia del Tamaño del Historial: El costo de emisión es estadísticamente insensible al tamaño del historial compartido ($N$), incluso cuando $N$ aumenta 50 veces (de 100 a 5,000 bloques).
• Costo de Recepción: Tras optimizar el mecanismo de actualización de caché de frontera de forma incremental, el costo de recepción (merge_blocks) también escala linealmente con $\Delta$. La implementación inicial sufría un exceso de $O(N)$ debido a la reconstrucción completa de la caché, el cual se redujo entre un 91 y 98% en la versión optimizada.
• Caso de Estudio: Un escenario de gobernanza de tres instituciones demuestra que un auditor externo puede verificar la legitimidad de una decisión colectiva comparando un registro de deliberación divulgado contra un hash en el Blocklace, sin requerir acceso a los registros de deliberación de otras instituciones participantes.

Significado y Reivindicaciones

El artículo posiciona al FSTP no como una propuesta puramente académica, sino como la capa de transporte inter-nodos para Velyzor, una plataforma de gobernanza para instituciones con requisitos de confidencialidad exigentes.

La principal significación reivindicada es el cambio de la soberanía de los datos de una opción de configuración a una consecuencia estructural del despliegue. El protocolo no requiere que los nodos sean "descentralizados" en un sentido filosófico; más bien, el acto de desplegar un nodo conforme con el agente de sincronización garantiza estructuralmente que los datos internos permanezcan internos.

Los autores enfatizan que el argumento de seguridad se basa en la naturaleza de código abierto de la implementación de referencia (licencia Apache 2.0). La garantía de confinación depende de la capacidad de cualquier par de la federación para inspeccionar, compilar y verificar el código fuente para asegurar que el enum FstpMessage no ha sido modificado para permitir la emisión de datos brutos.

El artículo concluye que el FSTP llena un vacío crítico en las redes federadas al proporcionar una capa de transporte que soporta simultáneamente requisitos de privacidad heterogéneos, aislamiento de identidad estructural y cumplimiento regulatorio (específicamente respecto a la eliminación de datos), propiedades que los protocolos existentes abordan solo parcialmente o en absoluto. Se identifica como trabajo futuro la cuantificación formal de la fuga de metadatos de tráfico y la evaluación empírica bajo condiciones de red realistas con conectividad intermitente.