Registre signé des engagements et protection par témoins

AeroNyx exploite un registre signé, append-only, d'engagements pour les enregistrements MemChain chiffrés. Il prouve l'ordre et l'intégrité, mais l'infrastructure ne peut pas lire la mémoire. Ce n'est pas une blockchain publique.

Invariant du protocole: Coordinateur, followers, témoins, backend et site ne traitent que des engagements sur ciphertext et des preuves opérationnelles limitées; ils ne reçoivent ni mémoire en clair, ni clés, ni relations de propriétaires, ni graphe social.

Architecture de production actuelle

Un coordinateur et trois noeuds follower/témoin audités sont utilisés. Le démarrage exige 2 checkpoints signés sur 3; la production en fonctionnement exige un lease court 3/3.

observed_at=2026-07-16 · reporting_nodes=4 · coordinator=1 · followers=3 · height=33 · commitments=8,339 · witness_lease=3/3.

client.encrypt_and_sign
  -> coordinator.append_opaque_commitment
  -> follower.verify_signed_ancestry
  -> pinned_witness.retain_checkpoint_and_grant_bounded_lease

Comportement en cas de panne

Un renouvellement partiel passe en degraded et réessaie tant que le lease existant reste valide. À expiration, la production de nouveaux engagements s'arrête. Un état remote-ahead ou des historiques signés divergents bloquent le démarrage.

renewal_degraded -> retry_until_expiry

expired -> coordinator_lease_production_permitted=false

remote_ahead | diverged -> startup_denied

Observabilité publique

L'API n'expose que des agrégats: noeuds vérifiés, hauteur tip, nombre d'engagements et état du lease. Aucun hash, signature, identité de témoin, endpoint, propriétaire ou contenu n'est publié.

GET https://api.aeronyx.network/api/privacy_network/vpn/public/network-stats/
data.protocol_status.memory_chain

{
  "mode": "signed_commitment_ledger",
  "status": "witness_protected",
  "verified_nodes": 4,
  "coordinator_nodes": 1,
  "follower_nodes": 3,
  "max_verified_tip_height": 33,
  "max_verified_commitment_count": 8339,
  "max_granted_witnesses": 3,
  "max_required_witnesses": 3,
  "network_consensus": "not_claimed"
}

Coordinateur, followers, témoins, backend et site ne traitent que des engagements sur ciphertext et des preuves opérationnelles limitées; ils ne reçoivent ni mémoire en clair, ni clés, ni relations de propriétaires, ni graphe social.

Ce que ce mécanisme n'est pas

• Ce n'est pas un consensus permissionless, une finalité byzantine ou un fork choice.
• Ce n'est ni un registre de tokens ni une plateforme de smart contracts.
• Il ne permet pas aux noeuds de lire la mémoire en clair.

Heartbeat

coordinator_lease_state, coordinator_lease_granted_witnesses, coordinator_lease_required_witnesses, coordinator_lease_seconds_remaining, coordinator_lease_production_permitted, coordinator_lease_last_failure_at, coordinator_lease_consecutive_failures, coordinator_lease_recoveries_total.