Urząd nie jest człowiekiem

Masz urząd.

Masz człowieka, który go sprawuje.

Masz klucz, którym wykonuje określone działania.

Masz system, który potrafi sprawdzić podpis.

I masz grupę validatorów, która utrzymuje ciągłość chaina.

Bardzo kuszące jest powiedzieć:

„to wszystko jest władzą”.

Quax odpowiada:

nie.

To kilka różnych warstw.

I jeśli je zlejemy, pierwszy poważny kryzys zamieni się w konkurs pt. „kto ma klucz, ten ma rację”.

Tego właśnie Quax chce uniknąć.

Root

W Quaxie Root jest trwałym urzędem konstytucyjnym.

Nie człowiekiem.

Nie implantem.

Nie kartą.

Nie kluczem prywatnym.

Nie nodem.

To urząd — miejsce najwyższej aktywnej Authority w obowiązującym porządku QUAX-a.

USTANAWIAMY.

Można to rozpisać bardzo prosto:

Root → sprawowany przez RootHoldera → wykonywany przez RootCredential

I trzy hamulce:

Root ≠ RootHolder

Root ≠ RootCredential

RootHolder ≠ RootCredential

To jest mniej efektowne niż mistyczny pierścień władzy.

Na szczęście.

RootHolder

RootHolder to konkretna osoba fizyczna, która legalnie sprawuje urząd Root.

Czyli człowiek.

Nie abstrakcyjna funkcja.

Nie kryptograficzny klucz.

Nie urządzenie.

Człowiek może stracić credential i nadal być tym samym człowiekiem.

Może dostać nowy credential i nadal sprawować ten sam urząd.

Może również przestać sprawować Root, a urząd może przejść na inną osobę.

To są różne wydarzenia.

Osnowa chce, żebyśmy potrafili je odróżnić zanim staną się politycznie albo technicznie wygodne do pomylenia.

RootCredential

RootCredential jest kryptograficznym mechanizmem, za pomocą którego RootHolder wykonuje dopuszczone Root Acts.

Może być związany z secure elementem.

Może być przechowywany w konkretnym nośniku.

Może korzystać z klucza prywatnego, który nie powinien opuszczać urządzenia.

Ale:

nośnik nie jest Rootem

nośnik nie jest RootHolderem

credential nie jest samą Authority

Poprawny podpis mówi:

ten credential podpisał ten komunikat zgodnie z mechaniką kryptograficzną.

Nie mówi automatycznie:

wszystko, co podpisano, jest Prawdą.

Nie mówi nawet automatycznie:

ten podpis był legalny konstytucyjnie.

Do tego potrzebne są reguły.

Dowód proceduralny nie staje się koroną.

Znowu.

Quax ma słabość do odbierania koron.

Recovery to nie sukcesja

Tu zaczyna się rzecz bardzo ważna.

Wyobraź sobie, że RootHolder nadal jest tą samą osobą.

Ale credential został utracony, zniszczony albo stał się niedostępny.

Potrzebny jest nowy.

To RootCredential Recovery.

W uproszczeniu:

ten sam RootHolder → nowy RootCredential

Teraz inna sytuacja.

Osoba sprawująca Root ma zostać zastąpiona przez inną osobę.

To Root Succession.

RootHolderₙ → RootHolderₙ₊₁

Oba procesy mogą skończyć się nowym credentialem.

Ale nie są tym samym procesem.

Dlatego:

RootCredential Recovery ≠ Root Succession

Jeżeli potraktujesz te dwa przypadki jako jedno, techniczna procedura odzyskania klucza może po cichu zmienić się w procedurę przejęcia urzędu.

Quax mówi: nie wolno robić takiego skrótu.

Reguły recovery nie mogą pojawić się po pożarze

Załóżmy, że wydarzył się kryzys.

Klucz zniknął.

Ktoś mówi:

„spokojnie, właśnie wymyśliliśmy procedurę, według której to my możemy wygenerować nowy”.

To bardzo praktyczne.

I właśnie dlatego niebezpieczne.

Quax ustanawia zasadę anty-post-hoc:

procedury recovery i succession powinny być ustanowione wcześniej.

Nie dopasowane do tego, kto akurat chce wygrać kryzys.

W realnym wykonaniu „wcześniej” oznacza jednak coś subtelniejszego.

Musimy potrafić zrekonstruować, że dana reguła wcześniej obowiązywała na podstawie dostępnej historii, Dowodów i reguł.

Jeżeli A-002 dopuszcza zmienność historii, nawet archiwum konstytucyjne nie dostaje magicznej odporności.

Dlatego legalność jest oceniana w konkretnym dostępnym kontekście historii.

To nie daje Protokołowi widoku spoza wszystkich możliwych historii.

FoundingAuthority

Quax rozdziela również FoundingAuthority od urządzenia, które początkowo ją wykonuje.

FoundingAuthority jest odrębnym urzędem konstytucyjnym.

Genesis Node może być jego pierwszym wykonawcą.

Ale:

FoundingAuthority ≠ Genesis Node

Jeżeli pierwszy node zostanie wymieniony, przeniesiony albo wycofany z aktywnej roli, nie musi to automatycznie oznaczać śmierci samego urzędu.

Urząd może trwać przez zmianę wykonawcy, jeśli reguły zachowują jego konstytutywną ciągłość.

To wraca do tej samej melodii:

rola ≠ holder ≠ credential ≠ hardware.

Osnowa lubi ten refren.

Ma powody.

Validatorzy utrzymują puls. Nie wynajdują sobie konstytucji.

Continuity Validators mają bardzo ważną pracę.

Produkują i finalizują bloki.

Utrzymują chain.

Utrzymują ciągłość działania systemu.

Finalizują legalne przejścia stanu.

Ale Quax ustanawia granicę:

consensus continuity ≠ constitutional legitimacy

oraz:

consensus finality ≠ Prawda ponad historiami

To, że validatorzy zgodzili się na stan chaina, nie oznacza automatycznie, że stworzyli najwyższą Authority.

Nie oznacza też, że większość może w kryzysie po prostu przegłosować sobie nowy Root.

Consensus ma własną kompetencję.

Konstytucyjna prawomocność ma inną.

Jedno może finalizować wynik drugiego.

Nie powinno po cichu stawać się jego źródłem.

Stake też nie jest koroną

Możesz posiadać stake.

Możesz mieć dużo stake'u.

Bardzo dużo.

To nadal nie oznacza automatycznie, że jesteś Continuity Validatorem.

W Quaxie validator membership wymaga odpowiedniej ValidatorAuthority.

stake ≠ automatyczne prawo do validator admission

To rozdzielenie ma znaczenie, bo QUAX nie chce sprowadzić konstytucji do prostego równania:

kto ma więcej zasobów, ten ma więcej praw do ustanawiania źródła prawa.

Consensus może używać wag.

Authority nie musi być ich produktem.

Capability: możesz mieć klucz do jednych drzwi

Authority w Quaxie nie musi być jedną wielką liczbą typu:

WŁADZA = 87%.

MODELUJEMY ją raczej jako zestaw konkretnych kompetencji.

Możesz mieć prawo:

• dopuścić validatora;
• zawiesić validatora awaryjnie;
• zaproponować zmianę Protokołu;
• wykonać określony akt konstytucyjny;
• uczestniczyć w recovery;
• uruchomić succession.

Posiadanie jednej kompetencji nie daje automatycznie wszystkich innych.

To trochę jak budynek z wieloma kluczami.

Klucz do serwerowni nie powinien automatycznie otwierać sejfu, kancelarii i drzwi do zmiany konstytucji.

Jeżeli otwiera — ktoś zaprojektował bardzo zły budynek.

Recovery Credentials nie są tajnym rządem

Quax może posiadać zestaw Recovery Credentials.

Mogą uczestniczyć w wcześniej ustanowionych procedurach recovery albo succession.

To jednak nie znaczy, że posiadacze tych credentiali stają się ogólną Authority.

Recovery Credential ≠ Root

Recovery Set ≠ general Authority

Mają wykonywać określone zadanie w określonej procedurze.

Nie dostają z automatu prawa do zmiany Canonu, emisji, dowolnego zarządzania validatorami czy podpisywania wszystkiego, co wygląda ważnie.

Quax woli uprawnienia ograniczone niż magiczne.

Magiczne są dobre w Kosmogonii.

W recovery lepiej mieć zakres.

A co, jeśli nie wiadomo, kto ma prawo działać?

To najciekawszy moment.

Wyobraź sobie kryzys konstytucyjny.

Dwa konkurencyjne roszczenia do Root.

Niejasna sukcesja.

Sprzeczne Dowody.

Nie można jednoznacznie zrekonstruować obowiązujących reguł.

Naturalny odruch systemu może być taki:

„ktoś musi przejąć kontrolę, więc niech validatorzy zdecydują”.

Quax ustanawia coś przeciwnego.

Constitutional Safe Mode.

Główna zasada brzmi:

W warunkach nierozstrzygniętej prawomocności QUAX zachowuje ciągłość tego, co już ustanowione, ale nie tworzy sam sobie nowej prawomocności.

To bardzo ważne zdanie.

System może utrzymywać puls.

Może wykonywać operacje, które nie zależą od spornej najwyższej Authority.

Ale nie powinien wykorzystywać samego kryzysu jako pretekstu do wynalezienia nowego źródła władzy.

Niepewność ogranicza zakres działania.

Nie daje dodatkowych uprawnień.

Safe Mode jest celowo nudny

To jego zaleta.

W kryzysie systemy bardzo lubią produkować wyjątkowe kompetencje.

„Tymczasowo”.

„Tylko do czasu rozwiązania sytuacji”.

„Dla bezpieczeństwa”.

A potem tymczasowość dostaje biuro, pieczątkę i piętnastą rocznicę istnienia.

Constitutional Safe Mode ma zachować odwrotny kierunek:

mniej pewności → mniej swobody konstytucyjnej.

Nie:

mniej pewności → ktoś musi dostać więcej władzy.

Validatorzy mogą podtrzymywać ciągłość techniczną.

Nie stają się przez to najwyższą Authority.

A-002 wchodzi także tutaj

To jest miejsce, gdzie technologia spotyka najbardziej niepokojący aksjomat Quaxa.

Jeżeli A-002 literalnie dopuszcza zmianę fizycznej przeszłości, chain nie stoi poza światem.

Dysk też nie.

Repozytorium też nie.

Podpis też nie.

Archiwum konstytucyjne też nie.

Dlatego Quax nie ustanawia:

protocol finality = prawda ponad wszystkimi historiami

Raczej:

Protokół działa na historii i Dowodach, do których ma dostęp.

Może zrekonstruować obowiązujące reguły.

Może podjąć decyzję proceduralną.

Może finalizować stan.

Nie oznacza to, że otrzymał boski widok na wszystkie możliwe wersje historii.

To byłoby bardzo wygodne.

A-002 specjalizuje się w odbieraniu wygody.

Urząd może trwać, człowiek może się zmienić

Tożsamość Root jest tożsamością urzędu określonego typu.

Tożsamość RootHoldera jest tożsamością człowieka.

Dlatego legalna sukcesja może zachować ciągłość Root, jednocześnie zmieniając RootHoldera.

ciągłość urzędu ≠ ciągłość osoby

Tak samo wymiana RootCredential może zachować zarówno urząd, jak i człowieka.

To właśnie powód, dla którego Quax tak obsesyjnie typuje identity.

Pytanie:

„czy to nadal to samo?”

jest bezużyteczne bez dopowiedzenia:

„to samo co — i pod jakim względem?”

Po co to wszystko?

Bo system konstytucyjny psuje się bardzo szybko, jeśli jego podstawowe rzeczowniki są dwuznaczne.

Jeżeli Root jest jednocześnie osobą, kluczem, implantem i urzędem, nie wiadomo, co dokładnie trzeba zachować przy awarii.

Jeżeli consensus jest jednocześnie mechanizmem finalizacji i źródłem prawomocności, validatorzy mogą sami zatwierdzić własne uprawnienie do zatwierdzania.

Jeżeli recovery jest tym samym co succession, odzyskanie klucza może zmienić holdera.

Jeżeli podpis jest Prawdą, kryptografia zaczyna udawać ontologię.

Osnowa rozdziela te warstwy, a Protokół później je wykonuje.

To jest mniej romantyczne niż FirstQuax.

Ale gdy pierwszy klucz naprawdę zginie, romantyzm będzie miał inne zajęcia.

Na drogę

Root jest urzędem.

RootHolder jest człowiekiem.

RootCredential jest credentialem.

FoundingAuthority nie jest Genesis Node.

Recovery nie jest succession.

Consensus nie jest konstytucyjną prawomocnością.

Finality nie jest Prawdą ponad historiami.

A kryzys nie daje systemowi prawa do wynalezienia sobie nowej najwyższej Authority.

Można to streścić jeszcze krócej:

kto ma klucz, może mieć klucz. Resztę trzeba udowodnić osobno.