ARCHITEKTUR
LyDos Phone betreibt dreizehn Rust-Daemons auf einer gehärteten AOSP-15-Basis. Jede Engine überwacht die anderen. Wird eine zum Schweigen gebracht, hören die übrigen auf zu schreiben. Signiert eine fälschlich, fängt die Kette es ab.
SETTLEMENT-FLUSS
Dieselben sechs Schritte für eine Wallet-Überweisung, eine ID-Vorlage, eine OTA-Bestätigung, eine Berechtigungserteilung. Überspringe einen Schritt, und die Aktion wird nicht abgeschlossen.
Wallet-Überweisung, ID-Vorlage, OTA-Bestätigung, Berechtigungsänderung. Die App spricht mit einer HAL — nie direkt mit KSL oder ASR.
Ist der Modus CRITICAL_LOCKDOWN, wird der Aufruf zu LsiaVetoed kurzgeschlossen, bevor auch nur ein Byte geparst wird. Kein Ausnahmepfad. KURAL 22 ganz oben durchgesetzt.
Die HAL schreibt einen Audit-Eintrag in die nur anhängbare Kette. Schlägt das Emit fehl (Platte voll, Partition schreibgeschützt, Hash-Abweichung), gibt die Kette Error zurück und die Aktion stoppt hier.
Die kanonischen Bytes der Aktion werden vom Master-Schlüssel im Secure Element signiert. ML-DSA-87 + Ed25519 hybrid, wo zutreffend. Die privaten Bytes verlassen es nie.
DSL gibt Settled zurück mit der Signatur, dem ASR-Beleghash und dem Snapshot des LSIA-Modus. Die App erhält einen Beweis, nicht nur ein Ja.
Wenn die Aktion eine ist, die die Föderation betrifft (verdächtiges IP-Cluster, gefälschter Alarmversuch), veröffentlicht GCI ein gehashtes Muster + /24-Präfix + Betrags-Bucket. Die rohe Payload bleibt auf dem Gerät.
DIE DREIZEHN
/api/ksl/*Master-Schlüssel im Secure Element versiegelt. ML-DSA-87-Signaturen. Private Bytes verlassen niemals den Userspace — nur ein Fingerprint wird sichtbar. kslctl legt Zähler und Rotationsjobs offen.
KURAL 18 — jede kritische Aktion signiert oder abgebrochen.
/api/immunity/*247 Kernel- + Syscall-Hooks werden live überwacht. Zustandsautomat NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN. Im LOCKDOWN wird jeder souveräne Schreibvorgang zu LsiaVetoed kurzgeschlossen, bevor er die Engine erreicht.
KURAL 22 — CRITICAL_LOCKDOWN überschreibt alles.
/api/tup/*Jedes OTA trägt ein Manifest, signiert von Release-, Security-, Ops- und Compliance-Officern. M-aus-N-Quorum, Rollenabdeckung, binäres SHA-256 zweifach verifiziert — Controller + Agent, Defense-in-Depth. Ablehnung ist fail-closed.
KURAL 20 — kein Deploy ohne TUP. Kein --skip-checks.
/api/asr/*Jede wichtige Entscheidung (Signatur, Berechtigung, Policy, Update) wird an ein hash-verkettetes Log auf einer Write-Once-Partition angehängt. Manipuliere einen Eintrag, und die Kette bricht beim nächsten Boot-Attest sichtbar.
Hash-verkettet · nur anhängbar · forensiktauglich.
/api/settlement/*Der einzige Pfad, durch den Apps signieren können. Das Audit-Emit muss gelingen, bevor KSL signiert; schlägt das Audit fehl, findet die Signatur nie statt. Settled = signiert + genehmigt + bewiesen. Kein Pfad zu settled-ohne-Spur.
Apps können Tageslimits nicht durch Speichermanipulation anheben.
/api/gce/*Erkennung von Zustandsdrift über Knoten hinweg. Vergleicht Engine-Heads über Föderations-Peers und stuft automatisch herab, wenn die Drift die Toleranz überschreitet. Uneinigkeit löst Degradierung aus, keine stille Zusammenführung.
Sauber auseinanderlaufen. Niemals still zusammenführen.
/api/gci/*Datenschutzwahrende Muster-Föderation. Nur gehashte Signale, /24-IP-Präfixe und betragsgebucketete Ereignisse verlassen das Gerät. Rohe Payloads, E-Mails, Benutzer-IDs — verlassen es nie.
KURAL 23 — nur gehashte/gebucketete Muster verlassen das Gerät.
/api/lrm/*Store-and-Forward-DTN-Transport über LoRa Multi-Hop, Wi-Fi Aware, Bluetooth-Mesh und UWB. Bandbreite pro Peer geplant. Übersteht Neustarts. Press Edition hält die Mesh-Telemetrie vor dem Launcher aktiv.
Die SOS-Spur bleibt im CRITICAL_LOCKDOWN offen.
/api/sat/*Cospas-Sarsat-Notfunkbake, Iridium Short-Burst Data, Starlink Direct-to-Cell, 3GPP NTN. SOS wird über den jeweils gesündesten Pfad geroutet — Auto-Failover, kein Menü.
Trägerunabhängiger Notfall, keine SIM erforderlich.
/api/lssa/*10-schichtige Architektur vom Hardware-Root-of-Trust bis zum Trust-Graph. Boot-Pipeline + AVB + LyDos Trusted Update + On-Device-Attestierung. Jede Schicht signiert die nächste.
Jeder Boot-Chain-Bruch → automatisch SAFE-Modus.
/api/cc/*SGX / SEV measurement-versiegelte Secrets. Sensible Berechnungen werden an ein Measurement versiegelt; ändert sich das OS-Image, öffnet sich die Versiegelung zu einer anderen Policy und das Secret bleibt versiegelt.
Secret an Measurement gebunden, nicht an den Benutzer.
/api/{ledger,finance}/*Doppelte Buchführung mit Beweis pro Transaktion. Wallet (M243) routet jede Überweisung durch die DSL HAL: zuerst ASR-Emit → dann KSL-Signatur. Schlägt das Audit fehl ⇒ wird die Signatur abgebrochen.
Tageslimit durch die HAL erzwungen, nicht durch App-Code.
/api/bus/*Cell-Broadcast (AFAD WEA, EU-Alert, J-Alert) wird signaturgeprüft, bevor er den Sperrbildschirm erreicht. Signierter On-Device-Push-Kanal — Benachrichtigungen können nicht gefälscht werden und überstehen das Fehlen von GMS.
Behördenwarnungen passieren das Signaturgate oder werden verworfen.
DESIGN-EIGENSCHAFTEN
Jede Engine überwacht die anderen. Wird eine zum Schweigen gebracht, hören die übrigen auf zu schreiben. Signiert eine fälschlich, fängt die Kette es beim nächsten Boot-Attest ab.
Bricht die Verifizierung, lautet die Antwort: ablehnen. Es existiert kein --skip-checks-Flag. Kein stiller Rückfall auf SQLite, wenn PG :5434 fehlt. Kein Retry bei Signatur-Abweichung.
Die ASR-Hash-Kette ist die einzige Zeitlinie, die zählt. Jede andere Engine kann abgeleitet, neu abgeleitet oder geopfert werden — die Kette nicht.
KURAL 23 — GCI teilt nur gehashte Muster, /24-IP-Präfixe, Betrags-Buckets. E-Mail, rohe IP, Benutzer-ID, Payload — verlassen das Gerät nie. Erzwungen an der Engine-Grenze, nicht per Konfiguration.
115 souveräne Routen sind dokumentiert in /api. Die Engines werden als private Rust-Crates ausgeliefert unter sovereign-templates/.