💻 computer science

Federated Sovereign Transport Protocol (FSTP): Verifiable Coordination Without Disclosure

Cet article introduit le Federated Sovereign Transport Protocol (FSTP), une couche de synchronisation imposée par Rust pour les réseaux fédérés qui garantit structurellement le confinement des données, l'inliabilité des identités et la traçabilité infalsifiable afin de permettre une coordination vérifiable sans exposer les données internes des nœuds.

Auteurs originaux : Ramón Soto C. (Department of Accounting, University of Sonora), Liz Soto (Department of Mathematics, University of Sonora)

Publié 2026-07-02

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Ramón Soto C. (Department of Accounting, University of Sonora), Liz Soto (Department of Mathematics, University of Sonora)

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un groupe d'organisations différentes — comme un syndicat, un parti politique et une banque réglementée — souhaitant collaborer sur un grand projet. Elles doivent se coordonner et prouver qu'elles ont fait leur part, mais elles sont légalement ou éthiquement interdites de partager leurs documents internes privés (comme des listes de membres, des votes secrets ou des notes de réunions internes) les unes avec les autres.

Les systèmes actuels pour connecter ces groupes sont comme une « maison de verre ». Si vous envoyez un message, l'autre partie peut voir l'enveloppe et, si elle est sournoise, elle pourrait jeter un coup d'œil à l'intérieur de la lettre même si vous ne l'avez pas voulu. Ils reposent sur un « système d'honneur » où le serveur opposé promet de ne pas regarder.

Ce document présente le FSTP (Federated Sovereign Transport Protocol), une nouvelle façon pour ces groupes de communiquer qui transforme le système d'honneur en un verrou structurel. Voici comment cela fonctionne, en utilisant des analogies simples :

1. Le « Gardien Strict » (L'Agent de Synchronisation)

Imaginez l'ordinateur de chaque organisation comme une forteresse. À l'intérieur, ils ont deux pièces :

Le Coffre-fort : Là où résident toutes les données brutes et secrètes (listes de membres, votes).
La Salles de courrier : Où les messages officiels et publics sont préparés.

Dans les anciens systèmes, un employé pouvait accidentellement (ou intentionnellement) prendre un document du Coffre-fort et le mettre dans la Salle de courrier. Dans le FSTP, la « Salle de courrier » est gardée par un Gardien Strict (appelé Agent de Synchronisation).

Ce Gardien n'est pas seulement un garde qui vérifie les identités ; c'est comme une machine d'usine construite avec un moule spécifique. La machine est conçue de telle sorte que seules des formes spécifiques et pré-approuvées (comme des « Event Hashes » ou des « Verifiable Credentials ») peuvent entrer dans l'ouverture de sortie. Si quelqu'un tente de forcer un « Document Secret » (qui est de la mauvaise forme) dans la machine, la machine se bloque physèrement et refuse de fonctionner.

Le document explique que ce n'est pas une règle que les employés doivent mémoriser ; c'est intégré dans le code lui-même. Si le code tente d'envoyer un secret, le compilateur de l'ordinateur (la machine qui construit le logiciel) l'arrête avant même que le logiciel ne démarre. Il est impossible de fuiter accidentellement des données car le « mauvais format » ne peut tout simplement pas exister dans le message sortant.

2. Le « Masque Jetable » (Identité Contextuelle)

Habituellement, si vous parlez à deux groupes différents, ils peuvent deviner que vous êtes la même personne parce que vous utilisez le même nom ou la même identité. C'est comme porter votre visage dans chaque pièce où vous entrez.

Le FSTP donne à chaque organisation un Créateur de Masques Magiques.

Quand vous parlez au Syndicat, vous portez un masque qui dit « Membre du Syndicat ».
Quand vous parlez à la Banque, vous portez un masque complètement différent qui dit « Client de la Banque ».

Ces masques sont mathématiquement liés à votre identité réelle, mais ils paraissent totalement différents pour les autres. Même si le Syndicat et la Banque comparent leurs notes, ils ne peuvent pas savoir que « Membre du Syndicat » et « Client de la Banque » sont la même personne. Cela empêche le « effondrement de contexte », où votre vie privée dans un groupe se mélange accidentellement avec votre vie publique dans un autre.

3. Le « Registre Infalsifiable avec Gomme » (Blocklace)

Pour prouver qu'ils ont fait leur travail, les organisations ont besoin d'un historique partagé. Habituellement, ces registres sont comme une chaîne de maillons en papier. Si vous voulez effacer un morceau de papier au milieu de la chaîne, vous devez couper la chaîne, ce qui brise l'ensemble. Cela rend impossible la suppression de données privées tout en conservant la preuve que ces données existaient.

Le FSTP utilise un système appelé Blocklace, qui ressemble davantage à un arbre d'étiquettes suspendues.

Chaque étiquette pointe vers la précédente par un fil.
Si vous devez supprimer un document privé (comme un nom d'une liste), vous ne coupez pas le fil. Vous brûlez simplement le papier à l'intérieur de l'étiquette.
L'étiquette elle-même reste suspendue à l'arbre, toujours connectée au reste de la chaîne.

C'est ce qu'on appelle un « pointeur suspendu » (dangling pointer). Le registre prouve que quelque chose s'est produit à ce moment-là, et la chaîne reste intacte et infalsifiable, mais le contenu privé a disparu pour toujours. Cela permet aux organisations de satisfaire aux lois qui imposent de « supprimer mes données » sans briser la preuve que l'événement a eu lieu.

Le Résultat : « La Preuve sans l'Exposition »

Le document affirme qu'avec ces trois outils, un auditeur externe peut s'approcher du groupe et dire :
« Je peux voir que le Syndicat a voté, que la Banque a voté, et que vous avez tous deux concordé sur un résultat. Je peux vérifier vos signatures et que la chaîne n'a pas été altérée. »

Mais l'auditeur ne peut pas voir sur quoi le Syndicat a voté, qui a voté, ou ce que les notes internes de la Banque disaient. Les organisations bénéficient de la possibilité de travailler ensemble et de prouver leur intégrité, sans jamais avoir à montrer leurs cartes privées sur la table.

Pourquoi cela importe

Le document note que ce n'est pas seulement une théorie ; cela est en cours de construction sur une plateforme réelle appelée Velyzor pour les institutions nécessitant une haute sécurité. Le code est en open-source, ce qui signifie que n'importe qui peut vérifier le « Gardien Strict » pour s'assurer qu'il fait réellement ce qu'il prétend faire.

En résumé, le FSTP construit un pont entre des îles privées où l'on peut se serrer la main et échanger des enveloppes scellées, mais personne ne peut jamais voir ce qu'il y a à l'intérieur des enveloppes, à moins que le propriétaire ne choisisse de les ouvrir.

Résumé Technique : Protocole de Transport Souverain Fédéré (FSTP)

Énoncé du Problème

Les protocoles de réseaux fédérés existants (par exemple, ActivityPub, Matrix) permettent une coordination décentralisée mais reposent sur la politique de l'opérateur plutôt que sur des contraintes structurelles pour imposer le confinement des données. Dans ces systèmes, bien que les formats de messages et la sémantique de livraison soient définis, il n'existe aucun mécanisme empêchant un serveur conforme d'émettre des données internes (par exemple, des registres de délibération, des votes de membres) dans la fédération. Par conséquent, la confidentialité des données pour les participants institutionnels — tels que les syndicats, les partis politiques ou les entreprises réglementées — dépend de la confiance accordée à l'adhésion de l'opérateur à sa politique plutôt qu'au protocole lui-même. De plus, les modèles d'identité actuels reposent souvent sur des identifiants résolubles globalement, ce qui entraîne un « effondrement de contexte » où les contextes sociaux ou institutionnels distincts sont aplatis, permettant la corrélation trans-contexte des identités des utilisateurs. Enfin, les architectures de registres linéaires (par exemple, les blockchains) peinent à concilier l'exigence de pistes d'audit immuables avec les obligations légales d'effacement des données (par exemple, le RGPD), car la suppression de données brise l'intégrité de la chaîne de hachage.

Méthodologie

Le document présente le Protocole de Transport Souverain Fédéré (FSTP), une couche de synchronisation et de transport conçue pour les réseaux fédérés aux exigences de confidentialité hétérogènes. La méthodologie repose sur trois primitives fondamentales :

L'Agent de Synchronisation (SA) :
- Agit comme l'interface exclusive entre le magasin de données internes d'un nœud ( $D_{raw}$ ) et le réseau de la fédération ( $D_{pub}$ ).
- Confinement au Temps de Compilation : Implémenté en Rust, le SA impose le confinement des données via le système de types. Il utilise une énumération fermée (FstpMessage) représentant uniquement les types de sortie autorisés. Comme Rust exige un filtrage exhaustif par motif (pattern matching) et que les types de données internes ne sont pas membres de cette énumération, le compilateur rejette statiquement tout chemin de code tentant de construire un message de fédération à partir de données internes brutes. Cela transforme le confinement des données d'une vérification au moment de l'exécution en une garantie structurelle au moment de la compilation.
- Machine à États : L'agent traverse différents états (inactif, validation, composition, transmission, journalisation). Toute violation de l'invariant de confinement ( $m \cap D_{raw} = \emptyset$ ) déclenche un chemin d'erreur qui journalise la violation et réinitialise l'agent.
Modèle d'Identité Contextuelle :
- Répond au problème de la corrélation de contexte. Chaque entité détient une Identité Globale (GII) mais dérive une Identité Contextuelle (CII) unique pour chaque relation de fédération en utilisant une fonction unidirectionnelle paramétrée par le contexte de la relation.
- Déliaison Structurelle : La CII est stable au sein d'une relation spécifique mais ne peut être liée à la GII ou à d'autres CII dans d'autres relations sans la coopération de l'entité. Cela empêche structurellement l'effondrement de contexte.
- Divulgation Minimale : Des justificatifs vérifiables sont présentés sous la forme de la CII spécifique, ne divulguant que les affirmations nécessaires pour cette interaction.
Substrat de l'Événement Blocklace :
- Remplace les journaux linéaires d'ajout uniquement par un graphe orienté acyclique (DAG) de blocs signés.
- Ordonnancement Partiel : Permet à des événements concomitants d'exister sous forme de branches parallèles sans sérialisation forcée, préservant la structure temporelle des décisions distribuées.
- Compatibilité avec l'Effacement : Le Blocklace stocke des pointeurs de hachage vers les événements plutôt que les événements eux-mêmes. Pour satisfaire les obligations d'effacement de données, le contenu est supprimé du magasin de données, laissant un « pointeur de l'orphelin » (la structure du bloc reste intacte avec son hachage d'origine). Cela préserve la preuve de falsification de la chaîne de hachage tout en supprimant le contenu sensible.
- Efficacité : La synchronisation s'effectue via un échange de frontières (frontier exchange). Le coût est proportionnel à la différence symétrique ( $\Delta$ ) entre les états des nœuds.

Contributions Clés

Confinement Structurel des Données : Le document démontre que le confinement des données peut être imposé par le protocole lui-même plutôt que par la politique de l'opérateur. En exploitant le système de types de Rust, le FSTP garantit que les données internes brutes ne peuvent pas être émises, même par un pair conforme mais adverse.
Preuve Sans Exposition : Le protocole permet à un participant de la fédération de vérifier qu'un processus a eu lieu, qu'un justificatif est authentique et qu'un résultat est non corrompu sans accéder aux données internes ayant produit ces artefacts.
Résolution du Conflit Effacement-Intégrité : Le mécanisme de « pointeur de l'orphelin » du Blocklace fournit une solution structurelle à l'incompatibilité entre les pistes d'audit immuables et les droits d'effacement des données, une limitation inhérente aux conceptions de registres linéaires.
Isolation Contextuelle : Le protocole empêche structurellement la corrélation des identités à travers différentes relations de fédération, traitant un défaut fondamental de confidentialité des systèmes fédérés existants.

Résultats

Le document présente des benchmarks empiriques pour l'implémentation de référence (écrite en Rust) afin de valider les affirmations d'efficacité du substrat Blocklace :

Coût d'Émission : Le temps de génération des deltas de synchronisation (sync_delta) évolue linéairement avec la différence symétrique ( $\Delta$ ). Le débit reste stable à environ 2,3 Melem/s, quelle que soit la taille de $\Delta$ .
Indépendance vis-à-vis de la Taille de l'Historique : Le coût d'émission est statistiquement insensible à la taille de l'historique partagé ( $N$ ), même lorsque $N$ augmente de 50 fois (de 100 à 5 000 blocs).
Coût de Réception : Après l'optimisation du mécanisme de mise à jour incrémentielle du cache de frontière, le coût de réception (merge_blocks) évolue également linéairement avec $\Delta$ . L'implémentation initiale souffrait d'un surcoût de $O(N)$ dû à la reconstruction complète du cache, ce qui a été réduit de 91 à 98 % dans la version optimisée.
Étude de Cas : Un scénario de gouvernance à trois institutions démontre qu'un auditeur externe peut vérifier la légitimité d'une décision collective en comparant un registre de délibération divulgué avec un hachage dans le Blocklace, sans nécessiter l'accès aux registres de délibération des autres institutions participantes.

Signification et Revendications

Le document positionne le FSTP non pas comme une simple proposition académique, mais comme la couche de transport inter-nœuds de Velyzor, une plateforme de gouvernance pour les institutions ayant des exigences de confidentialité élevées.

La principale signification revendiquée est le passage de la souveraineté des données d'une option de configuration à une conséquence structurelle du déploiement. Le protocole ne nécessite pas que les nœuds soient « décentralisés » d'un point de vue philosophique ; plutôt, l'acte de déployer un nœud conforme doté de l'agent de synchronisation garantit structurellement que les données internes restent internes.

Les auteurs soulignent que l'argument de sécurité repose sur la nature open-source de l'implémentation de référence (licence Apache 2.0). La garantie de confinement dépend de la capacité de tout pair de la fédération à inspecter, compiler et vérifier le code source pour s'assurer que l'énumération FstpMessage n'a pas été modifiée pour permettre l'émission de données brutes.

Le document conclut que le FSTP comble une lacune critique dans les réseaux fédérés en fournissant une couche de transport qui supporte simultanément des exigences de confidentialité hétérogènes, une isolation d'identité structurelle et la conformité réglementaire (spécifiquement concernant l'effacement des données), des propriétés que les protocoles existants n'abordent que partiellement ou pas du tout. Les travaux futurs identifiés concernent la quantification formelle de la fuite de métadonnées de trafic et le benchmarking empirique dans des conditions de réseau réalistes avec une connectivité intermittente.