ARCHITECTURE
Le LyDos Phone fait tourner treize démons Rust sur une base AOSP 15 durcie. Chaque moteur surveille les autres. Si l’un est réduit au silence, les autres cessent d’écrire. Si l’un signe à tort, la chaîne le détecte.
FLUX DE RÈGLEMENT
Les six mêmes étapes pour un envoi de portefeuille, une présentation d’identité, une confirmation OTA, un octroi de permission. Sautez une étape et l’action n’est pas réglée.
Envoi de portefeuille, présentation d’identité, confirmation OTA, changement de permission. L’application parle à un HAL — jamais directement à KSL ou ASR.
Si le mode est CRITICAL_LOCKDOWN, l’appel est court-circuité en LsiaVetoed avant qu’un seul octet ne soit analysé. Aucun chemin d’exception. KURAL 22 imposée dès le sommet.
Le HAL écrit une entrée d’audit dans la chaîne append-only. Si l’émission échoue (disque plein, partition en lecture seule, hachage divergent), la chaîne renvoie Error et l’action s’arrête ici.
Les octets canoniques de l’action sont signés par la clé maîtresse à l’intérieur de l’élément sécurisé. ML-DSA-87 + Ed25519 hybride le cas échéant. Les octets privés ne sortent jamais.
DSL renvoie Settled avec la signature, le hachage du reçu ASR et l’instantané du mode LSIA. L’application reçoit une preuve, pas un simple oui.
Si l’action intéresse la fédération (grappe d’IP suspecte, tentative d’alerte falsifiée), GCI publie le motif haché + préfixe /24 + tranche de montant. La charge utile brute reste sur l’appareil.
LES TREIZE
/api/ksl/*Clé maîtresse scellée dans l’élément sécurisé. Signatures ML-DSA-87. Les octets privés ne traversent jamais l’espace utilisateur — seule une empreinte affleure. kslctl expose les compteurs et les tâches de rotation.
KURAL 18 — toute action critique est signée ou avortée.
/api/immunity/*247 sondes noyau + appels système surveillées en direct. Machine à états NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN. En LOCKDOWN, toute écriture souveraine est court-circuitée en LsiaVetoed avant d’atteindre le moteur.
KURAL 22 — CRITICAL_LOCKDOWN prime sur tout.
/api/tup/*Chaque OTA porte un manifeste signé par les responsables Release + Security + Ops + Compliance. Quorum M-of-N, couverture des rôles, SHA-256 binaire vérifié deux fois — contrôleur + agent, défense en profondeur. Le rejet est fail-closed.
KURAL 20 — pas de déploiement sans TUP. Pas de --skip-checks.
/api/asr/*Chaque décision importante (signature, permission, politique, mise à jour) est ajoutée à un journal chaîné par hachage sur une partition en écriture unique. Altérez une entrée et la chaîne se rompt visiblement à la prochaine attestation de démarrage.
Chaîné par hachage · append-only · qualité forensique.
/api/settlement/*Le seul chemin par lequel les applications peuvent signer. L’émission d’audit doit réussir avant que KSL ne signe ; si l’audit échoue, la signature n’a jamais lieu. Réglé = signé + approuvé + prouvé. Aucun chemin de règlement sans trace.
Les applications ne peuvent pas relever les plafonds quotidiens en altérant la mémoire.
/api/gce/*Détection de dérive d’état entre nœuds. Compare les têtes de moteur entre pairs de la fédération et se dégrade automatiquement quand la dérive dépasse la tolérance. Un désaccord déclenche une dégradation, pas une fusion silencieuse.
Diverger proprement. Ne jamais converger en silence.
/api/gci/*Fédération de motifs préservant la vie privée. Seuls des signaux hachés, des préfixes IP /24 et des événements regroupés par tranche de montant quittent l’appareil. Charges utiles brutes, e-mails, identifiants utilisateur — ne partent jamais.
KURAL 23 — seuls des motifs hachés/regroupés sortent.
/api/lrm/*Transport DTN store-and-forward sur LoRa multi-saut, Wi-Fi Aware, mesh Bluetooth et UWB. Bande passante planifiée par pair. Persiste à travers les redémarrages. L’édition Press maintient la télémétrie du mesh active avant le lanceur.
La voie SOS reste ouverte en CRITICAL_LOCKDOWN.
/api/sat/*Balise de détresse Cospas-Sarsat, données en rafale courte Iridium, Starlink Direct-to-Cell, 3GPP NTN. Le SOS emprunte le chemin le plus sain — bascule automatique, sans menu.
Urgence indépendante de l’opérateur, sans SIM requise.
/api/lssa/*Architecture à 10 couches, de la racine de confiance matérielle jusqu’au graphe de confiance. Pipeline de démarrage + AVB + mise à jour de confiance LyDos + attestation sur l’appareil. Chaque couche signe la suivante.
Toute rupture de la chaîne de démarrage → mode SAFE automatique.
/api/cc/*Secrets scellés à la mesure SGX / SEV. Les calculs sensibles sont scellés à une mesure ; si l’image de l’OS change, le sceau s’ouvre sur une politique différente et le secret reste scellé.
Secret lié à la mesure, pas à l’utilisateur.
/api/{ledger,finance}/*Grand livre en partie double avec preuve par transaction. Le portefeuille (M243) achemine chaque envoi via le HAL DSL : émission ASR d’abord → signature KSL ensuite. Si l’audit échoue ⇒ la signature avorte.
Plafond quotidien imposé par le HAL, pas par le code de l’application.
/api/bus/*La diffusion cellulaire (AFAD WEA, EU-Alert, J-Alert) est vérifiée par signature avant d’atteindre l’écran de verrouillage. Canal de notification signé sur l’appareil — les notifications ne peuvent pas être falsifiées et survivent à l’absence de GMS.
Les alertes gouvernementales passent le contrôle de signature ou sont rejetées.
PROPRIÉTÉS DE CONCEPTION
Chaque moteur surveille les autres. Si l’un est réduit au silence, les autres cessent d’écrire. Si l’un signe à tort, la chaîne le détecte à la prochaine attestation de démarrage.
Quand la vérification se rompt, la réponse est le rejet. Aucun indicateur --skip-checks n’existe. Aucun repli silencieux vers SQLite quand PG :5434 est absent. Aucune nouvelle tentative en cas de signature divergente.
La chaîne de hachage ASR est la seule chronologie qui compte. Tout autre moteur peut être dérivé, re-dérivé ou sacrifié — la chaîne, non.
KURAL 23 — GCI ne partage que des motifs hachés, des préfixes IP /24, des tranches de montant. E-mail, IP brute, identifiant utilisateur, charge utile — ne quittent jamais l’appareil. Imposé à la frontière du moteur, pas par configuration.
115 routes souveraines sont documentées dans /api. Les moteurs sont livrés sous forme de crates Rust privés sous sovereign-templates/.