Resumo Técnico: Protocolo de Transporte Soberano Federado (FSTP)

Declaração do Problema

Os protocolos de rede federados existentes (ex: ActivityPub, Matrix) permitem a coordenação descentralizada, mas dependem da política do operador em vez de restrições estruturais para impor o confinamento de dados. Nesses sistemas, embora os formatos de mensagem e as semânticas de entrega sejam definidos, não há um mecanismo que impeça um servidor em conformidade de emitir dados internos (ex: registros de deliberação, votos de membros) para a federação. Consequentemente, a privacidade dos dados para participantes institucionais — como sindicatos, partidos políticos ou empresas reguladas — depende da confiança na adesão do operador à política, e não no próprio protocolo. Além disso, os modelos de identidade atuais frequentemente dependem de identificadores globalmente resolvíveis, levando ao "colapso de contexto", onde distintos contextos sociais ou institucionais são achatados, permitindo a correlação de identidades de usuários entre contextos. Por fim, arquiteturas de registro linear (ex: blockchains) lutam para reconciliar a exigência de trilhas de auditoria imutáveis com obrigações legais de apagamento de dados (ex: GDPR), pois a exclusão de dados quebra a integridade da cadeia de hashes.

Metodologia

O artigo apresenta o Protocolo de Transporte Soberano Federado (FSTP), uma camada de transporte e de fronteira de sincronização projetada para redes federadas com requisitos de privacidade heterogêneos. A metodologia baseia-se em três primitivas principais:

1. O Agente de Sincronização (SA):

   • Atua como a interface exclusiva entre o repositório de dados internos de um nó ($D_{raw}$) e a rede federada ($D_{pub}$).
   • Confinamento em Tempo de Compilação: Implementado em Rust, o SA impõe o confinamento de dados através do sistema de tipos. Ele utiliza uma enumeração fechada (FstpMessage) que representa apenas tipos de saída autorizados. Como o Rust exige correspondência de padrões exaustiva (exhaustive pattern matching) e os tipos de dados internos não são membros desta enumeração, o compilador rejeita estaticamente qualquer caminho de código que tente construir uma mensagem de federação a partir de dados internos brutos. Isso transforma o confinamento de dados de uma verificação em tempo de execução em uma garantia estrutural em tempo de compilação.
   • Máquina de Estados: O agente transita através de estados (ocioso, validando, compondo, transmitindo, registrando). Qualquer violação do invariante de confinamento ($m \cap D_{raw} = \emptyset$) aciona um caminho de erro que registra a violação e reinicia o agente.

2. Modelo de Identidade Contextual:

   • Aborda o problema da correlação de contextos. Cada entidade possui uma Identidade Global (GII), mas deriva uma Identidade Contextual (CII) única para cada relacionamento de federação usando uma função unidirecional parametrizada pelo contexto do relacionamento.
   • Desvinculabilidade Estrutural: A CII é estável dentro de um relacionamento específico, mas não pode ser vinculada à GII ou a outras CIIs em outros relacionamentos sem a cooperação da entidade. Isso impede estruturalmente o colapso de contexto.
   • Divulgação Mínima: Credenciais verificáveis são apresentadas sob a CII específica, divulgando apenas as alegações necessárias para aquela interação.

3. Substrato de Eventos Blocklace:

   • Substitui registros lineares de anexação única por um grafo dirigido acíclico (DAG) de blocos assinados.
   • Ordenação Parcial: Permite que eventos simultâneos existam como ramos paralelos sem serialização forçada, preservando a estrutura temporal das decisões distribuídas.
   • Compatibilidade com Apagamento: O Blocklace armazena ponteiros de hash para os eventos em vez dos eventos propriamente ditos. Para satisfazer as obrigações de apagamento de dados, o conteúdo é deletado do repositório de dados, deixando um "ponteiro pendente" (a estrutura do bloco permanece intacta com seu hash original). Isso preserva a evidência de violação da cadeia de hashes enquanto remove o conteúdo sensível.
   • Eficiência: A sincronização ocorre via troca de fronteira. O custo é proporcional à diferença simétrica ($\Delta$) entre os estados dos nós.

Contribuições Principais

• Confinamento Estrutural de Dados: O artigo demonstra que o confinamento de dados pode ser imposto pelo próprio protocolo, em vez da política do operador. Ao aproveitar o sistema de tipos do Rust, o FSTP garante que dados internos brutos não possam ser emitidos, mesmo por um par adversário, mas em conformidade.
• Prova Sem Exposição: O protocolo permite que um participante da federação verifique que um processo ocorreu, que uma credencial é autêntica e que um resultado não foi corrompido sem acessar os dados internos que produziram tais artefatos.
• Resolução do Conflito Apagamento-Integridade: O mecanismo de "ponteiro pendente" do Blocklace fornece uma solução estrutural para a incompatibilidade entre trilhas de auditoria imutáveis e direitos de apagamento de dados, uma limitação inerente aos designs de registro linear.
• Isolamento Contextual: O protocolo impede estruturalmente a correlação de identidades entre diferentes relacionamentos de federação, abordando uma falha fundamental de privacidade em sistemas federados existentes.

Resultados

O artigo apresenta benchmarks empíricos para a implementação de referência (escrita em Rust) para validar as alegações de eficiência do substrato Blocklace:

• Custo de Emissão: O tempo para gerar deltas de sincronização (sync_delta) escala linearmente com a diferença simétrica ($\Delta$). O rendimento permanece estável em aproximadamente 2,3 Melem/s, independentemente do tamanho de $\Delta$.
• Independência do Tamanho do Histórico: O custo de emissão é estatisticamente insensível ao tamanho do histórico compartilhado ($N$), mesmo quando $N$ aumenta 50 vezes (de 100 para 5.000 blocos).
• Custo de Recepção: Após otimizar o mecanismo de atualização de cache de fronteira de forma incremental, o custo de recepção (merge_blocks) também escala linearmente com $\Delta$. A implementação inicial sofreu um overhead de $O(N)$ devido à reconstrução total do cache, o que foi reduzido em 91–98% na versão otimizada.
• Estudo de Caso: Um cenário de governança de três instituições demonstra que um auditor externo pode verificar a legitimidade de uma decisão coletiva comparando um registro de deliberação divulgado contra um hash no Blocklace, sem exigir acesso aos registros de deliberação de outras instituições participantes.

Significância e Alegações

O artigo posiciona o FSTP não como uma proposta puramente acadêmica, mas como a camada de transporte inter-nós para o Velyzor, uma plataforma de governança para instituições com requisitos de confidencialidade exigentes.

A principal significância alegada é a mudança da soberania de dados de uma opção de configuração para uma consequência estrutural de implantação. O protocolo não exige que os nós sejam "descentralizados" em um sentido filosófico; em vez disso, o ato de implantar um nó conforme com o agente de sincronização garante estruturalmente que os dados internos permaneçam internos.

Os autores enfatizam que o argumento de segurança baseia-se na natureza de código aberto da implementação de referência (licença Apache 2.0). A garantia de confinamento depende da capacidade de qualquer par da federação de inspecionar, compilar e verificar o código-fonte para garantir que o enum FstpMessage não foi modificado para permitir a emissão de dados brutos.

O artigo conclui que o FSTpt preenche uma lacuna crítica nas redes federadas ao fornecer uma camada de transporte que suporta simultaneamente requisitos de privacidade heterogêneos, isolamento de identidade estrutural e conformidade regulatória (especificamente em relação ao apagamento de dados), propriedades que os protocolos existentes abordam apenas parcialmente ou de forma nenhuma. O trabalho futuro é identificado como a quantificação formal de vazamento de metadados de tráfego e benchmarking empírico sob condições de rede realistas com conectividade intermitente.