💻 computer science

Federated Sovereign Transport Protocol (FSTP): Verifiable Coordination Without Disclosure

Dit artikel introduceert het Federated Sovereign Transport Protocol (FSTP), een door Rust afgedwongen synchronisatielaag voor federatieve netwerken die structureel dataconfinement, onkoppelbare identiteiten en fraudegevoelige logging garandeert om verifieerbare coördinatie mogelijk te maken zonder interne nodegegevens bloot te leggen.

Oorspronkelijke auteurs: Ramón Soto C. (Department of Accounting, University of Sonora), Liz Soto (Department of Mathematics, University of Sonora)

Gepubliceerd 2026-07-02

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Ramón Soto C. (Department of Accounting, University of Sonora), Liz Soto (Department of Mathematics, University of Sonora)

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je een groep verschillende organisaties voor — zoals een vakbond, een politieke partij en een gereguleerde bank — die samen willen werken aan een groot project. Ze moeten coördineren en bewijzen dat ze hun deel hebben gedaan, maar ze zijn wettelijk of ethisch verboden om hun privé interne documenten (zoals ledenlijsten, geheime stemmingen of interne vergaderverslagen) met elkaar te delen.

Huidige systemen voor het verbinden van deze groepen zijn als een "glazen huis". Als je een bericht stuurt, kan de andere kant de envelop zien en als ze sluw zijn, kunnen ze in de brief loeren, zelfs als je dat niet de bedoeling had. Ze vertrouwen op een "eerlijkheidsprincipe" waarbij de andere server belooft niet te kijken.

Dit paper introduceert FSTP (Federated Sovereign Transport Protocol), een nieuwe manier voor deze groepen om met elkaar te communiceren die het eerlijkheidsprincipe verandert in een structurele vergrendeling. Zo werkt het, met behulp van eenvoudige analogieën:

1. De "Strikte Poortwachter" (De Synchronisatie-agent)

Denk aan de computer van elke organisatie als een fort. Binnenin hebben ze twee kamers:

De Kluis: Waar alle geheime, ruwe gegevens leven (ledenlijsten, stemmen).
De Postkamer: Waar officiële, publieke berichten worden voorbereid.

In oude systemen kon een werknemer per ongeluk (of met opzet) een document uit de Kluis pakken en in de Postkamer leggen. In FSTP wordt de "Postkamer" bewaakt door een Strikte Poortwachter (een Synchronisatie-agent).

Deze Poortwachter is niet alleen een beveiligingsbeambte die ID-bewijzen controleert; het is als een fabrieksmachine die gebouwd is met een specifieke mal. De machine is zo ontworpen dat alleen specifieke, vooraf goedgekeurde vormen (zoals "Event Hashes" of "Verifiable Credentials") in de uitvoersleuf passen. Als iemand probeert een "Geheim Document" (dat de verkeerde vorm heeft) in de machine te dwingen, loopt de machine vast en weigert deze te draaien.

Het paper legt uit dat dit geen regel is die werknemers moeten onthouden; het is ingebouwd in de code zelf. Als de code probeert iets geheims te verzenden, stopt de computercompiler (de machine die de software bouit) de actie voordat de software überhaupt start. Het is onmogelijk om per ongeluk gegevens te lekken omdat de "verkeerde vorm" simpelweg niet kan bestaan in het uitgaande bericht.

2. Het "Wegwerpmasker" (Contextuele Identiteit)

Normaal gesproken, als je met twee verschillende groepen praat, kunnen zij ontdekken dat je dezelfde persoon bent omdat je dezelfde naam of ID gebruikt. Dit is als het dragen van je eigen gezicht in elke kamer die je betreedt.

FSTP geeft elke organisatie een Magische Maskermaker.

Wanneer je met de Vakbond praat, draag je een masker dat zegt: "Vakbondslid."
Wanneer je met de Bank praat, draag je een volkomen ander masker dat zegt: "Bankklant."

Deze maskers zijn wiskundig verbonden met je echte identiteit, maar ze zien er voor anderen volkomen verschillend uit. Zelfs als de Vakbond en de Bank de noten vergelijken, kunnen zij niet zien dat "Vakbondslid" en "Bankklant" dezelfde persoon zijn. Dit voorkomt "context collapse", waarbij je privéleven in de ene groep per ongeluk wordt vermengd met je publieke leven in een andere groep.

3. Het "Onvervalsbare Grootboek met Gum" (Blocklace)

Om te bewijzen dat ze hun werk hebben gedaan, hebben organisaties een gedeeld geschiedenislog nodig. Normaal gesproken zijn deze logs als een keten van papieren schakels. Als je een stuk papier uit het midden van de keten wilt wissen, moet je de keten doorknippen, wat de hele keten breekt. Dit maakt het onmogelijk om privé gegevens te verwijderen terwijl het bewijs behouden blijft dat die gegevens bestonden.

FSTP gebruikt een systeem genaamd Blocklace, wat meer lijkt op een boom van hangende labels.

Elk label wijst naar het vorige met een touwtje.
Als je een privé document (zoals een naam uit een lijst) moet verwijderen, knip je niet het touwtje door. Je verbrandt simpelweg het papier binnen het label.
Het label zelf blijft aan de boom hangen, nog steeds verbonden met de rest van de keten.

Dit wordt een "dangling pointer" genoemd. Het record bewijst dat er op dat moment iets is gebeurd, en de keten blijft ononderbroken en onvervalsbaar, maar de eigenlijke privé inhoud is voor altijd verdwenen. Dit stelt organisaties in staat om te voldoen aan wetten die zeggen "verwijder mijn gegevens" zonder het bewijs dat de gebeurtenis plaatsvond te breken.

Het Resultaat: "Bewijs Zonder Blootstelling"

Het paper beweert dat met deze drie instrumenten een externe auditor naar de groep kan lopen en kan zeggen:
"Ik kan zien dat de Vakbond heeft gestemd, de Bank heeft gestemd, en dat jullie beiden een resultaat hebben overeengekomen. Ik kan jullie handtekeningen verifiëren en zien dat de keten niet is aangepast."

Maar de auditor kan niet zien waarover de Vakbond heeft gestemd, wie er heeft gestemd, of wat de interne aantekeningen van de Bank waren. De organisaties krijgen het voordeel van het samenwerken en het bewijzen van hun integriteit, zonder ooit hun privé kaarten op tafel te hoeven leggen.

Waarom dit ertoe doet

Het paper merkt op dat dit niet alleen een theorie is; het wordt gebouwd in een echt platform genaamd Velyzor voor instellingen die een hoge mate van beveiliging nodig hebben. De code is open-source, wat betekent dat iedereen de "Strikte Poortwachter" kan controleren om te verzekeren dat deze echt doet wat hij belooft.

Kortom: FSTP bouwt een brug tussen privé eilanden waar je handen kunt schudden en verzegelde enveloppen kunt uitwisselen, maar niemand kan ooit zien wat er in de enveloppen zit, tenzij de eigenaar ervoor kiest ze te openen.

Technische Samenvatting: Federated Sovereign Transport Protocol (FSTP)

Probleemstelling

Bestaande federatieve netwerkprotocollen (bijv. ActivityPub, Matrix) maken gedecentraliseerde coördinatie mogelijk, maar vertrouwen op de beleidsregels van de operator in plaats van op structurele beperkingen om dataconfinement af te dwingen. In deze systemen zijn weliswaar de berichtformaten en leveringssemantiek gedefinieerd, maar is er geen mechanisme dat voorkomt dat een conforme server interne gegevens (bijv. beraadslagingverslagen, ledenstemmen) naar de federatie uitzendt. Bijgevolg hangt de gegevensprivacy voor institutionele deelnemers—zoals vakbonden, politieke partijen of gereguleerde bedrijven—af van het vertrouwen in de naleving van het beleid door de operator, in plaats van op het protocol zelf. Bovendien vertrouwen bestaande identiteitsmodellen vaak op globaal oplosbare identificatoren, wat leidt tot "context collapse" waarbij verschillende sociale of institutionele contexten worden afgeplat, waardoor correlatie van gebruikersidentiteiten tussen contexten mogelijk wordt. Ten slotte worstelen lineaire ledger-architecturen (bijv. blockchains) met het verzoenen van de vereiste voor onveranderlijke audit trails met juridische verplichtingen voor gegevensverwijdering (bijv. AVG/GDPR), aangezien het verwijderen van gegevens de integriteit van de hash-keten doorbreekt.

Methodologie

Het artikel introduceert het Federated Sovereign Transport Protocol (FSTP), een synchronisatiegrens en transportlaag ontworopt voor federatieve netwerken met heterogene privacyvereisten. De methodologie steunt op drie kernprimitieven:

De Synchronisatie-agent (SA):
- Dient als de exclusieve interface tussen de interne gegevensopslag van een node ( $D_{raw}$ ) en het federatieve netwerk ( $D_{pub}$ ).
- Compile-Time Confinement: Geïmplementeerd in Rust, handhaaft de SA dataconfinement via het typesysteem. Het maakt gebruik van een gesloten enumeratie (FstpMessage) die uitsluitend geautoriseerde outputtypen representeert. Omdat Rust vereist dat patronen exhaustief worden gematcht en de interne datatypen geen lid zijn van deze enumeratie, wijst de compiler elke code die probeert een federatiebericht te construeren uit ruwe interne data statisch af. Dit transformeert dataconfinement van een runtime-controle naar een structurele garantie tijdens het compileren.
- State Machine: De agent doorloopt staten (idle, validating, composing, transmitting, logging). Elke schending van de confinement-invariant ( $m \cap D_{raw} = \emptyset$ ) triggert een foutpad dat de schending logt en de agent reset.
Contextueel Identiteitsmodel:
- Adresseert het probleem van cross-context correlatie. Elke entiteit bezit een Globale Identiteit (GII) maar afgeleide een unieke Contextuele Identiteit (CII) voor elke federatieve relatie met behulp van een eenrichtingsfunctie geparametriseerd door de relationele context.
- Structurele Onkoppelbaarheid: De CII is stabiel binnen een specifieke relatie, maar kan niet gekoppeld worden aan de GII of aan CII's in andere relaties zonder de medewerking van de entiteit. Dit voorkomt structureel context collapse.
- Minimale Openbaring: Verifieerbare credentials worden gepresenteerd onder de specifieke CII, waarbij slechts de noodzakelijke claims voor die interactie worden onthuld.
Blocklace Event Substrate:
- Vervangt lineaire append-only logs door een cryptografische gerichte acyclische graaf (DAG) van ondertekende blokken.
- Partiële Ordening: Maakt het mogelijk dat gelijktijdige gebeurtenissen als parallelle takken bestaan zonder gedwongen serialisatie, waardoor de temporele structuur van gedistribueerde beslissingen behouden blijft.
- Verwijderingscompatibiliteit: De Blocklace slaat hash-pointers naar gebeurtenissen op in plaats van de gebeurtenissen zelf. Om te voldoen aan verplichtingen voor gegevensverwijdering, wordt de inhoud uit de gegevensopslag verwijderd, waardoor een "dangling pointer" achterblijft (de blokstructuur blijft intact met de oorspronkelijke hash). Dit behoudt de tamper-evident eigenschap van de hash-keten terwijl de gevoelige inhoud wordt verwijderd.
- Efficiëntie: Synchronisatie vindt plaats via frontier exchange. De kosten zijn evenredig aan het symmetrische verschil ( $\Delta$ ) tussen de nodetoestanden, onafhankelijk van de totale geschiedenisomvang ( $N$ ).

Kernbijdragen

Structurele Dataconfinement: Het artikel demonstreert dat dataconfinement kan worden afgedwongen door het protocol zelf in plaats van door de operator. Door gebruik te maken van het typesysteem van Rust, garandeert FSTP dat ruwe interne data niet kan worden uitgezonden, zelfs niet door een conforme maar kwaadwillende peer.
Bewijs Zonder Blootstelling: Het protocol stelt een federatieparticipant in staat om te verifiëren dat een proces heeft plaatsgevonden, een credential authentiek is en een uitkomst niet gecorrumpeerd is, zonder toegang te krijgen tot de interne data die deze artefacten voortbracht.
Resolutie van het Erasure-Integriteit Conflict: Het "dangling pointer"-mechanisme van de Blocklace biedt een structurele oplossing voor de incompatibiliteit tussen onveranderlijke audit trails en het recht op gegevensverwijdering, een beperking die inherent is aan lineaire ledger-ontwerpen.
Contextuele Isolatie: Het protocol voorkomt structureel de correlatie van identiteiten over verschillende federatieve relaties, waarmee een fundamenteel privacygebrek in bestaande federatieve systemen wordt aangepakt.

Resultaten

Het artikel presenteert empirische benchmarks voor de referentie-implementatie (geschreven in Rust) om de efficiëntieclaims van de Blocklace-substrate te valideren:

Emissiekosten: De tijd om synchronisatiedelta's te genereren (sync_delta) schaalt lineair met het symmetrische verschil ( $\Delta$ ). De doorvoer blijft stabiel op ongeveer 2,3 Melem/s, ongeacht de grootte van $\Delta$ .
Onafhankelijkheid van Geschiedenisomvang: De emissiekosten zijn statistisch ongevoelig voor de omvang van de gedeelde geschiedenis ( $N$ ), zelfs wanneer $N$ 50 keer groter wordt (van 100 naar 5.000 blokken).
Receptiekosten: Na optimalisatie van het incrementele frontier cache update-mechanisme, schalen de receptiekosten (merge_blocks) ook lineair met $\Delta$ . De initiële implementatie leed aan $O(N)$ overhead door volledige reconstructie van de cache, wat in de geoptimaliseerde versie met 91–98% werd verminderd.
Casestudy: Een scenario met bestuur in drie instellingen demonstreert dat een externe auditor de legitimiteit van een collectieve beslissing kan verifiëren door een onthuld beraadslagingverslag te vergelijken met een hash in de Blocklace, zonder toegang te hoeven krijgen tot de beraadslagingverslagen van andere deelnemende instellingen.

Betekenis en Claims

Het artikel positioneert FSTP niet louter als een academisch voorstel, maar als de inter-node transportlaag voor Velyzor, een governance-platform voor instellingen met veeleisende vertrouwelijkheidseisen.

De primaire geclaimde betekenis is de verschuiving van datasoevereiniteit van een configuratieoptie naar een structureel gevolg van deployment. Het protocol vereist niet dat nodes "gedecentraliseerd" zijn in filosofische zin; in plaats daarvan garandeert de daad van het deployen van een conforme node met de synchronisatie-agent structureel dat interne data intern blijft.

De auteurs benadrukken dat het veiligheidsargument rust op de open-source aard van de referentie-implementatie (Apache 2.0 licentie). De garantie van confinement hangt af van de mogelijkheid voor elke federatiepeer om de broncode te inspecteren, te compileren en te verifiëren om te waarborgen dat de FstpMessage enum niet is gewijzigd om ruwe data-emissie toe te staan.

Het artikel concludeert dat FSTP een kritieke kloof in federatieve netwerken opvult door een transportlaag te bieden die tegelijkertijd structurele identiteitsisolatie, regelgevende naleving (specifiek met betrekking tot gegevensverwijdering) en heterogene privacyvereisten ondersteunt—eigenschappen die bestaande protocollen slechts gedeeltelijk of helemaal niet adresseren. Toekomstig werk wordt geïdentificeerd als de formele kwantificering van verkeersmetadata-lekken en empirische benchmarking onder realistische netwerkomstandigheden met onderbroken connectiviteit.