SETTLEMENT FLOW
वही छह चरण — वॉलेट सेंड के लिए, ID प्रस्तुति के लिए, OTA पुष्टि के लिए, परमिशन ग्रांट के लिए। एक चरण छोड़ें और एक्शन सेटल नहीं होती।
वॉलेट सेंड, ID प्रस्तुति, OTA पुष्टि, परमिशन बदलाव। ऐप एक HAL से बात करता है — कभी सीधे KSL या ASR से नहीं।
अगर मोड CRITICAL_LOCKDOWN है, तो कॉल किसी भी बाइट के पार्स होने से पहले ही LsiaVetoed में शॉर्ट-सर्किट हो जाती है। कोई अपवाद पथ नहीं। KURAL 22 सबसे ऊपर लागू।
HAL append-only चेन में एक ऑडिट एंट्री लिखता है। अगर emit विफल होता है (डिस्क भरी, पार्टीशन read-only, हैश मिसमैच), तो चेन Error लौटाती है और एक्शन यहीं रुक जाती है।
एक्शन के canonical बाइट्स सिक्योर एलिमेंट के अंदर मास्टर की द्वारा हस्ताक्षरित होते हैं। जहाँ लागू हो वहाँ ML-DSA-87 + Ed25519 हाइब्रिड। प्राइवेट बाइट्स कभी बाहर नहीं जाते।
DSL हस्ताक्षर, ASR रसीद हैश और LSIA मोड स्नैपशॉट के साथ Settled लौटाता है। ऐप को केवल एक हाँ नहीं, एक प्रूफ़ मिलता है।
अगर एक्शन ऐसी है जिसकी फेडरेशन को परवाह है (संदिग्ध IP क्लस्टर, स्पूफ़ किया अलर्ट प्रयास), तो GCI हैश किया पैटर्न + /24 प्रीफ़िक्स + amount bucket प्रकाशित करता है। रॉ पेलोड डिवाइस पर ही रहता है।
THE THIRTEEN
/api/ksl/*मास्टर की सिक्योर एलिमेंट में सील की जाती है। ML-DSA-87 हस्ताक्षर। प्राइवेट बाइट्स कभी यूज़रस्पेस में नहीं जाते — केवल एक फिंगरप्रिंट सामने आता है। kslctl काउंटर और रोटेशन जॉब्स को उजागर करता है।
KURAL 18 — हर क्रिटिकल एक्शन या तो हस्ताक्षरित या निरस्त।
/api/immunity/*247 कर्नेल + syscall हुक लाइव देखे जाते हैं। स्टेट मशीन NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN। LOCKDOWN में हर सॉवरेन राइट इंजन तक पहुँचने से पहले ही LsiaVetoed में शॉर्ट-सर्किट हो जाती है।
KURAL 22 — CRITICAL_LOCKDOWN सब पर हावी रहता है।
/api/tup/*हर OTA एक मैनिफेस्ट लेकर चलता है जिस पर Release + Security + Ops + Compliance अधिकारियों के हस्ताक्षर होते हैं। M-of-N कोरम, रोल कवरेज, बाइनरी SHA-256 दो बार सत्यापित — कंट्रोलर + एजेंट डिफेंस-इन-डेप्थ। रिजेक्ट fail-closed है।
KURAL 20 — TUP के बिना कोई डिप्लॉय नहीं। कोई --skip-checks नहीं।
/api/asr/*हर महत्वपूर्ण निर्णय (हस्ताक्षर, परमिशन, पॉलिसी, अपडेट) एक write-once पार्टीशन पर एक hash-chained लॉग में जोड़ा जाता है। किसी भी एंट्री से छेड़छाड़ करें और चेन अगले बूट attest पर स्पष्ट रूप से टूट जाती है।
Hash-chained · append-only · फोरेंसिक-ग्रेड।
/api/settlement/*एकमात्र पथ जिससे ऐप्स हस्ताक्षर कर सकते हैं। KSL के हस्ताक्षर से पहले ASR emit का सफल होना ज़रूरी है; अगर ऑडिट विफल होता है, तो हस्ताक्षर कभी नहीं होता। Settled = signed + approved + proven। बिना ट्रेल के सेटल होने का कोई पथ नहीं।
ऐप्स मेमोरी से छेड़छाड़ करके दैनिक सीमाएँ नहीं बढ़ा सकते।
/api/gce/*क्रॉस-नोड स्टेट ड्रिफ्ट का पता लगाना। फेडरेशन पीयर्स के बीच इंजन हेड्स की तुलना करता है और ड्रिफ्ट सहनशीलता से अधिक होने पर स्वतः डिग्रेड हो जाता है। असहमति डिग्रेडेड को ट्रिगर करती है, चुपचाप मर्ज नहीं।
साफ़-साफ़ अलग हों। कभी चुपचाप एकीकृत न हों।
/api/gci/*प्राइवेसी-संरक्षित पैटर्न फेडरेशन। केवल हैश किए गए सिग्नल, /24 IP प्रीफ़िक्स और amount-bucketed इवेंट ही डिवाइस से बाहर जाते हैं। रॉ पेलोड, ईमेल, यूज़र id — कभी बाहर नहीं जाते।
KURAL 23 — केवल हैश किए गए/बकेट किए गए पैटर्न ही बाहर जाते हैं।
/api/lrm/*LoRa मल्टी-हॉप, Wi-Fi Aware, Bluetooth mesh और UWB पर store-and-forward DTN ट्रांसपोर्ट। प्रति पीयर बैंडविड्थ शेड्यूल की जाती है। रीबूट के बाद भी बनी रहती है। Press Edition लॉन्चर से पहले mesh टेलीमेट्री चालू रखता है।
CRITICAL_LOCKDOWN में SOS लेन खुली रहती है।
/api/sat/*Cospas-Sarsat distress बीकन, Iridium short-burst data, Starlink Direct-to-Cell, 3GPP NTN। SOS उसी पथ से जाता है जो सबसे स्वस्थ हो — ऑटो-फेलओवर, कोई मेन्यू नहीं।
कैरियर-स्वतंत्र आपातकाल, कोई SIM ज़रूरी नहीं।
/api/lssa/*हार्डवेयर root-of-trust से ट्रस्ट ग्राफ़ तक 10-लेयर आर्किटेक्चर। बूट पाइपलाइन + AVB + LyDos trusted update + ऑन-डिवाइस attestation। हर लेयर अगली पर हस्ताक्षर करती है।
बूट-चेन में कोई भी टूट → SAFE मोड स्वतः।
/api/cc/*SGX / SEV measurement-sealed सीक्रेट्स। संवेदनशील गणनाएँ एक measurement से सील की जाती हैं; अगर OS इमेज बदलती है, तो सील एक अलग पॉलिसी पर खुलती है और सीक्रेट सील रहता है।
सीक्रेट measurement से बँधा होता है, यूज़र से नहीं।
/api/{ledger,finance}/*प्रति-ट्रांज़ैक्शन प्रूफ़ के साथ डबल-एंट्री लेज़र। Wallet (M243) हर सेंड को DSL HAL के ज़रिए रूट करता है: पहले ASR emit → फिर KSL sign। ऑडिट विफल ⇒ हस्ताक्षर निरस्त।
दैनिक सीमा HAL द्वारा लागू होती है, ऐप कोड द्वारा नहीं।
/api/bus/*Cell-broadcast (AFAD WEA, EU-Alert, J-Alert) लॉक स्क्रीन तक पहुँचने से पहले signature-verified होता है। ऑन-डिवाइस signed push चैनल — नोटिफ़िकेशन स्पूफ़ नहीं किए जा सकते और GMS की अनुपस्थिति में भी बने रहते हैं।
सरकारी अलर्ट signature gate से गुज़रते हैं या गिरा दिए जाते हैं।
DESIGN PROPERTIES
हर इंजन दूसरों पर नज़र रखता है। अगर एक को चुप करा दिया जाए, तो बाकी लिखना बंद कर देते हैं। अगर एक झूठा हस्ताक्षर करे, तो चेन उसे अगले बूट attest पर पकड़ लेती है।
जब सत्यापन टूटता है, तो उत्तर रिजेक्ट होता है। कोई --skip-checks फ़्लैग मौजूद नहीं है। PG :5434 गायब होने पर SQLite पर कोई चुपचाप फ़ॉलबैक नहीं। हस्ताक्षर मिसमैच पर कोई रीट्राई नहीं।
ASR हैश चेन ही एकमात्र टाइमलाइन है जो मायने रखती है। हर दूसरे इंजन को व्युत्पन्न, पुनः-व्युत्पन्न, या बलिदान किया जा सकता है — चेन को नहीं।
KURAL 23 — GCI केवल हैश किए गए पैटर्न, /24 IP प्रीफ़िक्स, amount bucket साझा करता है। ईमेल, रॉ IP, यूज़र id, पेलोड — कभी डिवाइस से बाहर नहीं जाते। इंजन की सीमा पर लागू, कॉन्फ़िग द्वारा नहीं।
115 सॉवरेन रूट दस्तावेज़ित हैं /api में। इंजन प्राइवेट Rust crate के रूप में शिप होते हैं sovereign-templates/ के अंतर्गत।