Quién es dueño de esto
El servidor donde corre Koinonía hoy lo paga y lo administra una sola persona. Eso, dicho tal cual, es un problema — y es el problema que el sistema está construido para resolver.
Una plataforma donde se vota tiene un punto débil que no arregla ninguna contraseña: quien administra la máquina puede cambiar un número. Puede borrar una objeción incómoda, mover una fecha, ajustar un resultado. La respuesta habitual es pedir confianza —«nosotros no haríamos eso»— y esa respuesta no vale nada, porque la daría igual quien sí lo haría.
Acá la respuesta es otra: no hace falta creerme. No porque yo sea de fiar, sino porque el sistema está armado para que mi palabra no sea la que decide.
El testimonio se reparte, no se pide
Cada cierto tiempo, este servidor publica un resumen corto de todo lo que pasó hasta ese momento. Un resumen tan sensible que si alguien cambiara una sola letra de una sola propuesta escrita hace meses, el resumen saldría distinto.
Ese resumen se manda afuera, a testigos que no dependen de mí. Y hay cuatro tipos, elegidos justamente porque fallan de maneras distintas:
- Un registro público mundial
- El resumen queda sellado en un registro que no es de nadie y que no se puede reescribir. Para desmentirlo habría que rehacer ese registro entero.
- Dos copias del proyecto en sitios distintos
- El resumen se publica firmado en dos alojamientos independientes. Para desmentirlo habría que entrar en los dos y cuadrar la mentira en ambos.
- Personas con su propio buzón
- El resumen llega por correo a varias personas de dominios distintos, que responden firmando con su propia llave. Para desmentirlo habría que conseguir que todas pierdan o entreguen su buzón.
- Registros de terceros
- Servicios ajenos que anotan, con fecha, que recibieron ese resumen.
La regla que lo sostiene, y que es código
Es la regla central y no es una promesa escrita en un documento: está en el programa, con pruebas que la comprueban. Y el motivo es sencillo. Si yo pudiera reescribir la historia y además firmar la versión falsa con una llave que tengo acá, mi firma no probaría nada: parecería una garantía sin serlo, que es peor que no tener ninguna.
Por eso hacen falta dos testigos de tipos distintos. Dos confirmaciones del mismo tipo son un solo testigo con dos nombres. Y mientras no haya dos de tipos distintos, el estado público no es «bien, con una nota al pie»: es sin confirmar, con la fecha desde la que lo está. El sistema lo dice en voz alta en vez de fingir un visto bueno que no se ganó.
Cómo participás sin pedirme permiso
Esto es lo que hace que la propiedad no sea mía. No hay que pedirle acceso a nadie ni esperar a que yo lo autorice — de hecho, yo no puedo impedirlo:
- Comprobalo por tu cuenta. Descargás la historia entera y la volvés a calcular en tu máquina, con un programa que no habla con este servidor. Si lo que te dio no coincide con lo que la pantalla dice, la que miente es la pantalla. Se hace desde la pantalla de comprobación.
- Sé testigo. Hace falta un buzón de correo y una llave propia, de las que ya usa cualquiera que suba código. No hay que instalar nada nuestro ni tener servidor: te llega el resumen, lo firmás con tu llave, y desde ese momento tu firma es una de las que hacen falta para que una constancia sea firme. La llave se queda con vos; si viviera acá, no contaría.
- Levantá tu propia copia. Todo el programa es libre, con una licencia que obliga a que cualquier mejora vuelva a la comunidad que la usa. Si mañana el Instituto quiere correr esto en sus propias máquinas, o alguien quiere montarlo para otra asamblea, no hay permiso que pedir ni empresa a la que llamar.
Lo que hoy falta, dicho sin adornos
La autoridad está repartida por diseño, y el programa que lo impone está escrito y probado. Pero hay dos cosas que todavía no son ciertas, y conviene decirlas acá y no descubrirlas después:
- Falta gente, no programa. El tipo de testigo que son las personas está construido, pero el listado de quiénes son está vacío: nadie ha puesto todavía su llave. Hasta que haya ese listado, ese tipo de testigo no aporta nada — y por eso el estado público es honesto en vez de verde.
- La ejecución todavía no está repartida. Hoy el programa corre en una sola máquina. Que varias facultades presten su cómputo y se repartan también la ejecución es a donde esto va, y para lo que está preparado el diseño, pero no está hecho. Lo que ya está repartido es lo que decide si se puede confiar en el resultado, que es la parte que importa primero.
Prometer lo segundo como si ya existiera sería el tipo exacto de confianza falsa que todo esto existe para no pedir.