Gebouwd op Android. Gehard op elke laag van het besturingssysteem. Uw privésleutels leven in de beveiligde chip van het toestel en verlaten die nooit. Wanneer al het andere faalt, blijft SOS werken.
ELK SCHERM, UITGELEGD
De compacte voorvertoning bovenaan wisselt automatisch tussen de zes kernschermen. Daaronder kunt u in de volledige voorvertoning er één vastzetten, lezen wat het werkelijk toont en de vier ontwerpkeuzes erachter inspecteren.
START
Je apps, je messengers, je wallet — plus een kleine set LyDos-apps voor soevereine identiteit, de auditketen en het noodmesh.
Alle Play Store- en side-loaded apps draaien in een sandbox — zoals Android het doet.
ID, Wallet, Messenger, Resilience, Audit — klein, ondertekend, controleerbaar.
Geen advertenties, geen telemetrie-pop-ups, geen dark patterns. Dit is jouw startscherm.
Werk, reizen, pers — gescheiden profielen met hun eigen machtigingen en apps.
HOE HET WERKT
Hardware-verankerde sleutels die u zelf behoudt · een immuunsysteem dat het OS bewaakt · updates die drie onafhankelijke handtekeningen vereisen. Zonder deze drie doet de rest van de stack er niet toe. Mét deze drie kan de telefoon zichzelf verdedigen.
De privésleutel die bewijst dat u het bent, blijft opgesloten in de beveiligde chip van de telefoon. Onze servers zien hem nooit. Om hem te onttrekken, zou een aanvaller de chip fysiek uit elkaar moeten scheuren — software alleen kan hem niet kopiëren.
Ingebouwd in het besturingssysteem: een immuunsysteem dat let op sabotage, anomalieën en onmogelijk gedrag. Het kan de telefoon stilletjes terugschakelen naar de veilige modus — of, indien nodig, volledige vergrendeling — terwijl de SOS-broadcast actief blijft.
Elke over-the-air-update moet worden ondertekend door drie onafhankelijke rollen — release-engineering, beveiliging en operations — en de binaire hash ervan moet overeenkomen. Als er zelfs maar één handtekening ontbreekt, weigert de telefoon de installatie.
SOEVEREINE IDENTITEIT
Op LyDos wordt een identiteit afgeleid van je apparaatsleutels: offline berekend, identiek op elk apparaat, van geen enkele server. Het levende netwerk is het quorum van soevereine engines dat ervoor instaat.
Elk gezicht wordt deterministisch afgeleid van een gedecentraliseerde identifier (DID). Er wordt geen afbeelding opgeslagen of opgehaald — dezelfde seed tekent op elk apparaat offline dezelfde avatar.
Identiteit heeft geen filmrol nodig — de sleutel is het gezicht.
Op het apparaat getekend vanuit de seed; er wordt niets geüpload.
Eén DID toont zich identiek op elk LyDos-apparaat.
Roteer de sleutel en de identiteit leidt zich netjes opnieuw af.
NOG STEEDS ANDROID
LyDos Phone draait op AOSP 15. U behoudt het Android dat u kent — apps, store, push, ecosysteem — maar het besturingssysteem eronder verdedigt zichzelf en bewijst zichzelf op manieren die standaard Android niet kan.
AOSP 15-basis. Elke app die je al gebruikt blijft werken — we versterken de bodem, niet het plafond.
Gebouwd op AOSP 15. De Play Store-sandbox, side-loaded APK's, je messengers, bankieren, werktools en games draaien precies zoals op standaard Android — Treble-conforme CTS- + LyDos CTS-suites slagen bij elke release.
GMS draait als een onbevoorrechte gebruikersapp, niet als systeemcomponent. Per profiel in- of uit te schakelen. Apps die ervan afhankelijk zijn blijven opt-in; apps die dat niet zijn, zien het nooit.
Netwerk, opslagbereik, sensoren, contacten, locatie, klembord — in te schakelen per app, per sessie. Standaard staat alles op weigeren. Sla profielen op (Werk · Reizen · Pers) en wissel met één tik.
Bestandsgebaseerde versleutelingssleutels worden ingepakt door de beveiligde chip, niet alleen door je wachtwoord. Verlies de chip — verlies de data. Geen offline brute force, geen sleuteloverdracht naar een andere telefoon.
Dertien Rust-daemons die het OS bewaken, elke belangrijke beslissing ondertekenen en weigeren te schrijven wanneer de keten breekt.
Masterkey verzegeld in het secure element, ML-DSA-87-handtekeningen. Privébytes verlaten nooit de chip; userspace ziet alleen een vingerafdruk. kslctl toont tellers en rotatietaken.
247 kernel- + syscall-hooks worden live bewaakt. Toestandsmachine: NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN. In LOCKDOWN wordt elke soevereine schrijfactie kortgesloten naar LsiaVetoed voordat ze de engine bereikt.
Elke OTA bevat een manifest dat is ondertekend door Release-, Security-, Ops- + Compliance-functionarissen. M-van-N-quorum, rolafdekking, binaire SHA-256 dubbel geverifieerd (controller + agent). Afwijzing is fail-closed — geen --skip-checks.
Elke belangrijke beslissing (handtekening, recht, beleid, update) wordt toegevoegd aan een hash-gekoppeld logboek op een write-once-partitie. Manipuleer een vermelding en de keten breekt zichtbaar bij de volgende boot-attestatie.
De Default Settlement Layer is het enige pad waarlangs apps kunnen ondertekenen. De audit moet succesvol worden uitgezonden voordat KSL ondertekent; mislukt de audit, dan vindt de handtekening nooit plaats. Er is geen pad voor afhandeling zonder spoor.
Cross-node-consistentie (GCE) en privacybehoudende patroonfederatie (GCI). Alleen gehashte signalen en /24 IP-prefixen verlaten het apparaat. Ruwe payloads, e-mails, gebruikers-id's — nooit.
Als het mobiele netwerk uitvalt, blijft de telefoon praten. Acht onafhankelijke radioverbindingen, ondertekende cell-broadcasts, kill-switch-combinaties.
Noodoproepen en SOS werken zonder simkaart, bij elke provider, of met de mobiele modem uit — via satelliet of mesh. AFAD/EU-Alert/WEA-cell-broadcasts worden op handtekening geverifieerd voordat ze het vergrendelscherm bereiken.
Cospas-Sarsat-noodsignaal, Iridium short-burst, Starlink Direct-to-Cell, 3GPP NTN, LoRa multi-hop, Wi-Fi Aware, Bluetooth-mesh, ultra-wideband. SOS gaat via het gezondste pad — automatische failover, geen menu.
Delay-Tolerant Networking-transport plaatst berichten in een wachtrij op het apparaat en repliceert ze via naburige LyDos-telefoons wanneer het mobiele netwerk weg is. Bandbreedte gepland, behouden over herstarts heen.
De boot-completed ResilienceService komt op voordat de launcher start — meshtelemetrie valt nooit weg. De kill-switch-combinatie (vol-omlaag ×3 + power 3 s) wist het apparaat, maar pas nadat de wisactie is geaudit.
Apps die de telefoon moeten vertrouwen, bewijzen dit cryptografisch, zonder te weten wie je bent.
Android Verified Boot + LyDos trusted update + on-device attestatie. Elke laag ondertekent de volgende. Als een handtekening breekt tijdens het opstarten, gaat de telefoon automatisch in SAFE-modus en legt de keten uit waarom.
Banken en werksuites krijgen een externe attestatie dat dit een echte, ongemanipuleerde LyDos Phone met een bekende bootketen is — zonder je DID, je apps of je locatie te leren kennen. App-identiteit, geen gebruikersidentiteit.
DID deterministisch afgeleid van de KSL-mastervingerafdruk — geen centrale uitgever. De Halo2-prover draait op het apparaat; de witness overschrijdt nooit de bindergrens. Bewijs een feit, onthul verder niets.
Meldingen voor kritieke apps gaan via een op het apparaat ondertekend pushkanaal. Geen afhankelijkheid van Google Cloud Messaging — je messenger blijft bezorgen, zelfs zonder GMS, en een vervalste melding wordt op het kanaal geweigerd.
Reproduceerbare builds, ondertekende pakketten, een status-CLI die je zelf kunt draaien.
factory-img-builder + release-pack-signer produceren deterministische factory-images. SHA-256 wordt met de build gepubliceerd; compileer de broncode zelf, hash het resultaat, vergelijk. Komen de getallen niet overeen — sla alarm.
Eén commando dumpt de live status van alle 13 engines: KSL-tellers, LSIA-modus, laatst-geverifieerde TUP-release, ASR chain head, GCE-drift, meshpeers. Alleen-lezen, ondertekende uitvoer die je in een bugrapport kunt plakken.
ota-delta houdt de update-bandbreedte minimaal op satellietverbindingen. Functionarissleutels worden geroteerd via een gedocumenteerde Faraday-kooi-ceremonie — air-gapped, ed25519 + Dilithium3-hybride, mode 0400 afgedwongen.
DE 13 ENGINES
Elke engine bewaakt de andere. Als er één tot zwijgen wordt gebracht, stoppen de rest met schrijven. Als er één vals ondertekent, betrapt de keten dat. We hebben geen functies aan Android toegevoegd — we hebben een soeverein zenuwstelsel toegevoegd.
Uw privésleutel verlaat nooit het Secure Element. Onze servers zien hem nooit.
Elke kritieke actie (betaling, OTA-installatie, beleidswijziging) vereist een handtekening op het toestel zelf.
Immuunsysteem op OS-niveau — schakelt bij dreiging automatisch terug van normaal → veilig → vergrendeling.
eBPF-veto op kernelniveau. In vergrendeling wordt elke soevereine schrijfactie geannuleerd — SOS blijft werken.
Geen update installeert zonder drie onafhankelijke handtekeningen (release + beveiliging + ops).
AVB rollback-index + ondertekende delta-patch (≤500 MB) + uitgifte van een audittrail.
Wanneer één telefoon een exploit ontdekt, leren alle telefoons ervan — zonder ooit uw data te delen.
Alleen SHA-256-gehashte patronen + regiobuckets gossippen over de vloot. Geen IP's. Geen e-mails.
Elke belangrijke beslissing wordt vastgelegd in een append-only, hash-geketend grootboek dat u kunt inspecteren.
Forensische write-once-read-many-partitie. Ketenbreuken zijn alarmen.
Kritieke beslissingen vereisen dat 2-van-3 onafhankelijke nodes het eens zijn. Geen enkel faalpunt.
Consensus over meerdere nodes via een gefedereerd netwerk — valt bij uitval gracieus terug.
Gelaagde sleutelhiërarchie met de rootsleutel opgesloten in een hardware security module.
De root-ceremonie vereist M-van-N officieren; tussenliggende sleutels roteren jaarlijks.
Geheimen worden verzegeld aan de gemeten toestand van uw toestel — ze weigeren te openen op een gemanipuleerde telefoon.
ARM TrustZone + StrongBox-verzegeling. Remote attestation-challenge voor gevoelige flows.
Elke transactie draagt een bewijs per transactie. Dubbel-boekhouden-invarianten worden live afgedwongen.
Betalingen vereisen een handtekening op het toestel + beleidspoort + custodyketen. Geen stille terugval.
Hardware → bootloader → kernel → userspace → app → vertrouwensgraaf. Elke laag controleert de laag eronder.
Als de attestation-keten ooit breekt bij het opstarten, gaat de telefoon automatisch in veilige modus.
Ondertekend + goedgekeurd + bewezen = afgewikkeld. Er is geen andere weg. Stille sluiproutes zijn onmogelijk.
De settlement-statemachine weigert elke transactie waaraan een van de drie vereiste bewijzen ontbreekt.
Detecteert state-drift tussen nodes en degradeert automatisch schrijfacties tot de consensus herstelt.
Divergentie van de Merkle-root activeert de gedegradeerde modus — lezen gaat door, schrijven pauzeert tot het veilig is.
Toestelgebonden inloggegevens en ondertekende manifesten blijven weken werken, zelfs zonder internet.
Ondertekende app-manifesten + offline beleidscache + replaybeveiliging.
WAT HET DOET
Elk item hieronder is echt, meetbaar gedrag — getest op echte hardware, verifieerbaar door iedereen die de broncode leest. Geen beloften die we niet onderbouwen met een build-artefact.
Sub-seconde broadcastpijplijn voor vroegtijdige waarschuwing. Haalt gegevens uit zeven onafhankelijke overheidsbronnen — AFAD-TR, JMA Japan, USGS, EMSC Europa, KMA Korea, NDMA India, PHIVOLCS — en zendt een geauthenticeerd alarm uit voordat de trilling u bereikt.
Wanneer zendmasten uitvallen, blijft uw telefoon praten — via LoRa, Wi-Fi Aware, BLE Mesh, NFC, ultrasone en FM-RDS terugvalopties. Stresstest door bewust 60% van de nodes te laten uitvallen in rampsimulaties.
Als de telefoon wordt aangevallen, verloren raakt, vergrendeld is of zelfs in zijn hoogste beveiligingstoestand staat, blijft de SOS-broadcast aan. Geen wachtwoord vereist. Geen uitzondering. Het scherm kan donker zijn, het OS kan bevroren zijn — het baken gaat uit.
Een nieuw patchformaat verkleint volledige Android-updates met 20× — zodat het daadwerkelijk voltooit via satelliet of slechte mobiele verbinding. Elke patch wordt ondertekend, hash-gecontroleerd, in omvang begrensd en geweigerd als er iets fout lijkt.
Alle kritieke handtekeningen gebruiken NIST post-quantum-standaarden (ML-DSA, ML-KEM, SLH-DSA). Wanneer de cryptografische grond onder de industrie verschuift, is deze telefoon er al. Hybride modus houdt oude systemen werkend.
Een echte fysieke schakelaar op Press Edition-hardware. Houd een combinatie van drie seconden vast om direct de toestelsleutel in te trekken, gebruikersdata te wissen en de audittrail te verzegelen. Gebruikt door journalisten en mensenrechtenverdedigers aan grenzen.
Elke belangrijke beslissing die de telefoon neemt, wordt aan elkaar gekoppeld in een hashketen — het soort forensisch verslag dat u mee kunt nemen naar een rechtszaal. Manipulatie vereist het retroactief breken van SHA-256.
Alleen gehashte patronen en regiobuckets verlaten ooit het toestel. Geen ruw IP, geen e-mail, geen telefoonnummer, geen GPS-coördinaat. Dit is geen beleidskeuze — het wordt afgedwongen op de laag van het besturingssysteem met runtime-tests.
We publiceren voor elke release de exacte broncode, build-vlaggen en base-image. U compileert, u hasht, u vergelijkt met uw toestel. Als de getallen niet overeenkomen — alarm. Geen achterdeur kan zich verbergen in iets dat u zelf hebt gebouwd.
WANNEER HET NET FAALT
Acht onafhankelijke radioroutes, satelliet-noodbakens, store-and-forward-berichten die via naburige telefoons doorspringen. Getest in een aardbevingsoefening van de overheid met magnitude 7,2 — alarmen binnen drie seconden, 95% berichtbezorging met 60% van het netwerk weggevallen.
De telefoon probeert ze op volgorde, van boven naar beneden. Welke als eerste verbinding maakt, wint. Als zendmasten, internet en Wi-Fi allemaal weg zijn, kan hij nog steeds een satellietbaken versturen — of doorspringen via naburige telefoons over LoRa, Bluetooth en Wi-Fi.
Noodbaken — werkt overal op aarde
Korte tekst en ping
Gangbaar sms'en en lichte data
Laagvermogen IoT-achtige berichten
Telefoon-naar-telefoon-berichten, multi-hop
Korte-afstandsmesh + binnenshuis afstandsbepaling
Crowd-routing in stedelijke gebieden
Locatiebepaling tot op de centimeter binnenshuis
RAMPOEFENING · OVERHEIDSOEFENING
VERGELIJK
GrapheneOS, CalyxOS, /e/OS, NitroPhone, Purism Librem 5, Pine64, standaard Pixel. Opgebouwd uit openbare documentatie. Geen mooie praatjes. Controleer elke cel zelf.
| Dimensie | LyDos Phone AOSP 15 + LyDos sovereign stack | GrapheneOS AOSP + hardened userspace | CalyxOS AOSP + microG | /e/OS (Murena) LineageOS + deGoogle | NitroPhone (Nitrokey) GrapheneOS pre-installed | Purism Librem 5 PureOS (Linux) | Pine64 PinePhone Pro Multiple distros | Pixel + stock Android AOSP + Google Play |
|---|---|---|---|---|---|---|---|---|
| Hardware kill-switch | Ja | Gedeeltelijk | Gedeeltelijk | Nee | Ja | Ja | Ja | Nee |
| Update-ondertekeningsmodel | Quorum met 3 handtekeningen | Eén sleutel | Eén sleutel | Eén leverancier | Eén sleutel | Door gebruiker ondertekend | Door gebruiker ondertekend | Eén leverancier |
| Cross-device-immuniteit | Alleen gehasht | Geen | Geen | Opt-in telemetrie | Geen | Geen | Geen | Opt-in telemetrie |
| Post-quantum-cryptografie | Beschikbaar | Gepland | Geen | Geen | Gepland | Geen | Geen | Gepland |
| Reproduceerbare build | Geverifieerd | Geverifieerd | Gedeeltelijk | Gedeeltelijk | Geverifieerd | Gedeeltelijk | Gedeeltelijk | Geen |
| Automatische immuniteit | Op kernelniveau | Alleen sandbox | Alleen sandbox | Alleen sandbox | Alleen sandbox | Geen | Geen | Alleen sandbox |
| Journalistenmodus | First-class | Handmatige installatie | Handmatige installatie | Handmatige installatie | Handmatige installatie | Handmatige installatie | Handmatige installatie | Geen |
Bronnen: LyDos Phone → this site · GrapheneOS → grapheneos.org · CalyxOS → calyxos.org · /e/OS (Murena) → murena.com · NitroPhone (Nitrokey) → nitrokey.com · Purism Librem 5 → puri.sm · Pine64 PinePhone Pro → pine64.org · Pixel + stock Android → android.com
TOESTELLEN
Eén software, meerdere hardwarepaden. Pixel 8 Pro en Pixel 9 Pro zijn de eerste ontwikkelaars- en activistentoestellen. De Fairphone 6-build wordt door partners getest voor Europa. Het schoon-vel-referentietoestel — open secure element, dubbele satelliet, verwisselbare batterij — is in ontwerp.
Eerste volledig soevereine Android — ondertekende updates worden al uitgerold.
Tweede golf — voegt hardware-geattesteerde secure-element-flow toe.
Broertje van de 9 Pro — dezelfde software, kleinere behuizing.
Partnerbuild gepauzeerd in afwachting van de bronvrijgave van de leverancier. We leveren niet zonder.
OPEN STANDAARDEN
Geen gesloten protocollen. Elke laag gebruikt openbare standaarden van NIST, IETF, OASIS, 3GPP, IEEE en ISO. U kunt controleren wat we hebben gebouwd — omdat wat we bouwden al gepubliceerd was.
TRANSPARANTIE
Elke release wordt geleverd met deterministische build-instructies en een ondertekend manifest. Compileer de broncode zelf, hash het resultaat en vergelijk het met de image op uw toestel. Als de getallen niet overeenkomen — sla alarm.
REPRODUCEERBARE BUILD · LIVE BEWIJS
# Clone the public manifest, sync, build, verify. git clone --depth 1 https://git.lydos.ailydian.com/lydos/lydos-phone-manifest -b husky-2026.06.r1 repo init -u . && repo sync -j8 . build/envsetup.sh && lunch lydos_husky-user # Build the same image, then check the hash of your build against ours. m -j$(nproc) target-files-package ./verify-bundle.sh out/dist/lydos_husky-target_files-*.zip # expects: build_sha256 == published_release_sha256
Als jouw build niet dezelfde hash oplevert als de gepubliceerde release, dan is de image op het apparaat niet afkomstig uit deze broncode. Dat is het alarm. Er is geen andere weg.
WAAR WE STAAN
De soevereine kern en de nood-mesh zijn live en getest. De gebruikersgerichte apps en de satellietstack worden nu verfijnd. Het referentietoestel, de onafhankelijke audits en de publieke lancering liggen nog voor ons.
Sleutelsoevereiniteit op het toestel, zelf-immuniteitsengine, updates met drie handtekeningen, gefedereerde immuniteit, auditgrootboek — allemaal live.
Aardbevingsalarmen binnen drie seconden, acht-radio-terugval (LoRa, Bluetooth, Wi-Fi Aware, satelliet), getest in rampoefeningen.
Launcher, messenger (Signal + post-quantum + mesh + satelliet), wallet, AI op het toestel, auditviewer — worden verfijnd voor de beta.
Iridium, Starlink Direct-to-Cell, 3GPP niet-terrestrisch, Cospas-Sarsat — verenigd achter één beveiligde tunnel.
Praat met auto's (CAN, OBD-II), drones (MAVLink), boten (NMEA + AIS), smart home (Matter + Thread), industrie (OPC UA, BACnet).
Open-silicon secure element (OpenTitan), fysiek-onkloonbare identiteit, side-channel-bestendige cryptografie, hardware kill-switch.
Een nieuw toestel dat vanaf de grond is ontworpen: open secure element, dubbele satelliet, verwisselbare batterij, optionele Faraday-voering.
Citizen Lab, Amnesty Tech, EFF — onafhankelijke verificatie vóór de publieke lancering. Academische papers gepland voor USENIX, IEEE S&P, DEF CON.
Eerste publieke beschikbaarheid op Mobile World Congress 2027. Enterprise-pilots openen eerder; het pers- en mensenrechtenprogramma nog eerder.
SOFTWAREFASE · W1 — W18
De softwarefase werd afgesloten in achttien publieke sprints, elk met een gedateerd rapport in docs/SPRINT_W*.md. Wat volgt is het publieke verslag van wat is opgeleverd.
SOEVEREINE APPS · W5 — W10
Elke soevereine app communiceert met een echte HAL via binder. Wanneer de HAL ontbreekt, retourneert een getypeerde sentinel een fout — nooit een vooraf ingeblikt succes. De volledige slottabel wordt bevroren door een pytest-CI-gate.
Verifieerbare credentials. Halo2-bewijzen. Geen PII passeert de binder.
Scenario · journalist die een grens oversteekt
De grenscontrole wil weten of je ouder bent dan 18. Je overhandigt hun een zero-knowledge-bewijs dat dit bevestigt — zonder je geboortedatum, zonder je naam, zonder een telefoonnummeropzoeking. De verifier ziet een 32-byte challenge-respons, niets anders.
EVM + Lightning. KSL-apparaathandtekening. ASR-audit-vóór-afwikkeling.
Scenario · humanitaire veldwerker
Je betaalt een lokale leverancier 15 000 sats via een satellietverbinding. De wallet ondertekent de betaling via de DSL-HAL op het apparaat → de ASR-audit zendt de ketenvermelding uit voordat de transactie succes retourneert. Als de audit faalt, wordt de handtekening afgebroken — nooit een betaling die zonder spoor wordt afgewikkeld.
Hybride PQ-ondertekening. Transport met meerdere banen. LSIA-baan-veto.
Scenario · bron in een vijandig netwerk
Je verhaal ontmoet voor het eerst een redacteur. Het mobiele netwerk is vergiftigd, de Wi-Fi wordt afgeluisterd. De messenger routeert de envelop via LRM-mesh + Iridium SBD, ondertekent met de KSL-apparaatsleutel en valt baan voor baan terug. Als LSIA midden in het verzenden naar lockdown omschakelt, wordt de envelop in de wachtrij gezet — wordt nooit afgeleverd via een niet-vertrouwde route.
Alleen-lezen weergave op het ASR-grootboek. Ketenverificatie buiten het apparaat.
Scenario · compliance-functionaris
Een auditor vraagt: laat me elke kill-switch-activeringsgebeurtenis in Q2 zien. Je overhandigt hun het hash-geketende ASR-grootboek. Ze halen één enkele tip-hash op, verifiëren de volledige keten offline en bevestigen dat geen enkele vermelding is herschreven — het apparaat bewijst zijn eigen geschiedenis.
TUP-rolquorum-installatie. ASR-audituitzending VÓÓR de installatiebit omklapt.
Scenario · OS-engineer die een update uitrolt
Er arriveert een applicatiepakket van 3 MB. Het register geeft het door aan ITupHal::verifyManifest. Drie handtekeningen (Security + Operations + Release) moeten allemaal kloppen, de uitgevervingerafdruk mag niet op de herroepingslijst staan, de SHA-256 van het pakket moet overeenkomen met het manifest, en er moet een ASR-audit worden uitgezonden vóór de installatie — als ook maar één stap faalt, stort de installatie in.
Eerst inferentie op het apparaat. PII geredigeerd. Federatie vereist een KSL-handtekening.
Scenario · gebruiker die een privévraag stelt
Je stelt een persoonlijke vraag met daarin een telefoonnummer en een e-mailadres. De PII-redactor verwijdert beide voordat de prompt ooit de IInferenceHal-binder bereikt. De llama-daemon op het apparaat antwoordt vanuit een TUP-ondertekend lokaal model. Als je voor federatie kiest, wordt de SHA-512-digest van de request-body KSL-ondertekend; het federatie-endpoint ontvangt alleen de geredigeerde prompt + de ondertekende digest-header.
GMS-oppervlak vervangen door soevereine attestatie. Caller-UID nooit vervalst.
Scenario · ontwikkelaar die een app van derden uitvoert
Een bank-app heeft Play Integrity-attestatie nodig. De sandbox roept Google NIET aan — hij retourneert een lokaal uitgegeven integriteitstoken via IKslHal-attestatie. PermissionBroker bepaalt de caller-UID via Binder.getCallingUid() (door de kernel geleverd — de door de aanroeper geclaimde UID wordt genegeerd), voert de PermissionShim-matrix uit, en delegeert ofwel naar het systeem of weigert stilzwijgend.
Vervanging van het vergrendelscherm. Mesh-telemetrie. Kill-switch-combinatie.
Scenario · persapparaat onder paniekcombinatie
Grenswachters eisen dat je ontgrendelt. Je houdt de aan/uit-knop ingedrukt, tikt drie keer binnen twee seconden op volume-omlaag en houdt nog drie seconden vast. Een daemon aan de kernelzijde zendt HARDWARE_KILL_COMBO uit. De receiver controleert de Press-vergrendelingsstatus, zendt EERST een ASR-audit uit en herroept dan de apparaatsleutel via IKslHal::deleteKey. Het apparaat kan niets meer ondertekenen — zelfs niet zijn eigen fabrieksreset.
Modusbewust startscherm. SystemProperties-cache. Beleidsgate voor app-start.
Scenario · alledaagse gebruiker
Je startscherm toont wat het apparaat daadwerkelijk doet. De statuschip bovenaan weerspiegelt de LSIA-modus in realtime. De launcher abonneert zich op ModeBroadcastBus — wanneer het immuunsysteem midden op de dag omschakelt naar veilige modus, krijgen je soevereine tegels een zachte rode rand en dimmen de federatie-afhankelijke tegels weg.
OPLEVERINGSPIPELINE · W11 — W18
factory-img-builder produceert een deterministische manifest-hash. release-quorum verzamelt drie rolhandtekeningen en bewijst dat de build reproduceerbaar is. lyd-flasher verifieert de bundle op het apparaat voordat de eerste partitie wordt aangeraakt.
SCENARIOREELS
Zij aan zij: wat stock Android doet, wat LYDOS doet. Dezelfde hardware. Hetzelfde netwerk. Een andere invariant.
TEGENOVER STOCK ANDROID
Eerlijke vergelijking — Pixel, Samsung, GrapheneOS, CalyxOS. De gemarkeerde rijen zijn die welke volgens ons het belangrijkst zijn voor journalisten, ngo's en operators die risico lopen.
| Kenmerk | LYDOS | Pixel | Samsung | GrapheneOS | CalyxOS |
|---|---|---|---|---|---|
| Locatie van de hoofdondertekeningssleutel | OpenTitan SE, verzegeld | Titan M2, leveranciersgestuurd | Knox-kluis, leveranciersgestuurd | Titan M2, leveranciersgestuurd | Titan M2, leveranciersgestuurd |
| Quorum van update-handtekeningen | 3 rollen (Security + Ops + Release) | 1 partij (Google) | 1 partij (Samsung) | 1 partij (Graphene) | 1 partij (Calyx) |
| Audit-grootboek | Hash-geketende ASR-HAL, export op het apparaat | Niet zichtbaar voor gebruiker | Knox-attestatielogs, in beheer van leverancier | Niet zichtbaar voor gebruiker | Niet zichtbaar voor gebruiker |
| GMS-oppervlak | Vervangen door soevereine attestatie | Volledige Play Services | Volledige Play Services + Samsung | Play in sandbox | microG |
| Hardware-kill-switch-combinatie | volume-omlaag + aan/uit × 3 + 3 s vasthouden → KSL-sleutel herroepen | Aan/uit × 5 = noodoproep | Aan/uit × 3 = camera | Niet aanwezig | Niet aanwezig |
| Noodmesh | 8 paden (sat / LoRa / Wi-Fi Aware / BLE-mesh / UWB / 3GPP NTN / Iridium / Cospas-Sarsat) | Satelliet-SOS (alleen VS) | Satelliet-SOS (alleen VS) | Geen | Geen |
| AI-federatie op het apparaat | KSL-ondertekend, endpoints op allowlist | Gemini-cloud, leveranciersgestuurd | Galaxy AI-cloud, leveranciersgestuurd | Uitgeschakeld | Uitgeschakeld |
| Localepariteit | TR · EN · AR · RU · FA, volledige sleutelpariteit | 100+ locales, gedeeltelijke pariteit | 100+ locales, gedeeltelijke pariteit | Alleen EN met community-vertalingen | Gemengd |
| Bewijs van reproduceerbare build | repro-status-CLI · CI-gate | Gedeeltelijk (sinds Android 14) | Nee | Ja, periodiek | Naar beste vermogen |
| Aantal publieke CI-gates | 177 frozen assertions (13 pytest + 164 cargo) | Alleen intern | Alleen intern | Geselecteerde build-verificaties | Geselecteerde build-verificaties |
CI-GATE-BEWIJS
Elke gate staat in tools/ en sovereign-templates/*/cargo test --lib. Iedereen kan de repo klonen en ze uitvoeren.
tools/aidl-slot-check/test_slots.py · 3tools/i18n-audit/test_parity.py · 2tools/telemetry-smoke/test_pipeline.py · 4tools/press-edition/test_combo.py · 4lyd-flasher38factory-img-builder32release-quorum35telemetry-pipeline53press-hardware-combo6field_mismatches : 0 · policy_violations : 0 · extras_only_in_left : [] · extras_only_in_right : []
GLOBAL MESH — NO NODE STANDS ALONE
Below the apps and the engines sits a federation layer: twelve Rust crates that let LyDos phones discover each other, agree on what is true, carry an alert across a dead grid, and vouch for one another's audit history. Only hashed patterns and region buckets ever cross the wire — never an IP, an email, or an identity.
peer-discovery → roadmap-pin, all Rust, all shipped
hashed patterns + region buckets only (KURAL 23)
alerts and ledgers need independent witnesses, not one node
Vindt nabije soevereine telefoons via ondertekende announce-pakketten — en weigert de namaak.
Een spoof-detector scoort elke announce; ongetekende of opnieuw afgespeelde bakens komen nooit in het peer-register.
Twee telefoons bewijzen wie ze zijn aan elkaar voordat er één byte mesh-verkeer vloeit.
Wederzijdse authenticatie met challenge-nonce + capability-onderhandeling, verankerd aan een KSL-ondertekende sessie — geen anonieme peers.
Elke peer verdient een vertrouwensscore op basis van hoe hij zich werkelijk gedraagt op de mesh.
Gedragsmetrieken voeden een vertrouwensbeoordelaar; een misdragende node wordt naar quarantainestatus verplaatst en afgestoten.
Mesh-sessies zijn kortstondig en wisselen hun eigen sleutel — een buitgemaakte sleutel sterft binnen minuten.
Begrensde sessielevensduur + geplande rekey + intrekkingslijst; een ingetrokken peer wordt midden in de stream afgesneden.
Draagt een bericht over vele hops wanneer geen enkele telefoon de bestemming kan bereiken.
Elke hop voegt zijn eigen handtekening toe en een loopdetector doodt cycli — een gemanipuleerd relaypad is bewijsbaar.
Onthoudt goede paden zodat het volgende bericht de snelle route neemt in plaats van de mesh opnieuw te overspoelen.
Pad-records gesleuteld en verouderd door ondertekende invalidatiesignalen — verouderde routes kunnen niet blijven hangen.
Verspreidt een noodalarm in seconden over de hele regio — één keer, niet duizend keer.
OASIS CAP-enveloppen verspreiden zich onder een multi-getuigen-quorum; een dedupe-venster stopt alarmstormen.
De ene federatie kan cryptografisch instaan voor de audithistorie van een andere.
Cross-federatie Merkle-getuigenbewijzen met een geschilvenster — een vervalste historie is aanvechtbaar.
Wanneer iets de vloot aanvalt, heeft de hele vloot een sabotage-aantoonbaar verslag ervan.
Federatie-brede incidentketen geëxporteerd naar ASR; gebeurtenissen worden gehasht, nooit ruw (KURAL 23).
Produceert ondertekend bewijs van naleving van regelgeving zonder de onderliggende data te lekken.
Framework-bewuste attestation-ondertekenaar geeft een openbaarmakingspakket uit dat wordt beheerst door een expliciet bewaarbeleid.
Bewaakt of de federatie haar bezorgings- en latentiebeloften nakomt.
Bezorgingstellers + een latentiehistogram voeden een SLA-beoordelaar; een overschreden quorumbudget slaat alarm.
De federatie komt bij consensus overeen welke build elke regio precies mag draaien.
Een ondertekend pin-manifest legt de module + het releasevenster vast zodat geen regio afdrijft naar een niet-goedgekeurde build.
VRAGEN
Nee. Geharde forks bouwen Android opnieuw met striktere standaardinstellingen. LyDos Phone gaat dieper: dertien beveiligingsengines en zeven hardware-interfaces onder het OS maken van het toestel een soevereine node die zijn eigen bewijzen produceert. We volgen GrapheneOS upstream en hergebruiken wat al werkt — we vervangen het niet, we bouwen erop voort.
Ja. De hoofd-privésleutel leeft binnen de beveiligde chip (Titan M2, StrongBox, OpenTitan). Onze servers zien hem nooit. Elke kritieke actie — betalingen, OTA-installaties, beleidswijzigingen — vereist een handtekening op het toestel zelf. Zelfs als we uw sleutel zouden willen stelen, konden we het niet — door het ontwerp.
Ja. De SOS-route blijft open in elke beveiligingsmodus — normaal, gedegradeerd, veilig of zelfs kritieke vergrendeling. Geen wachtwoord nodig. Als het toestel gestolen is, de gebruiker bewusteloos is of het scherm niet reageert, gaat het noodbaken nog steeds uit via welke radio dan ook nog actief is.
De telefoon probeert acht alternatieven op volgorde: Cospas-Sarsat satelliet-noodbaken → Iridium → Starlink Direct-to-Cell → 3GPP NTN → LoRa mesh → Wi-Fi Aware → Bluetooth mesh → ultra-wideband. Berichten kunnen van telefoon naar telefoon springen via delay-tolerant networking — ze bereiken de wereld, zelfs als uw lokale infrastructuur weg is.
Nee. Al het satellietverkeer wordt verpakt in een soevereine tunnel met post-quantum + AEAD-versleuteling en een handtekening op het toestel. De provider ziet een ondoorzichtig, ondertekend pakket — niet de inhoud ervan. De gefedereerde immuniteitslaag deelt alleen gehashte patronen en regiobuckets — nooit uw IP, uw e-mail of uw locatie.
Reproduceerbare builds. We publiceren voor elke release de exacte broncode, build-vlaggen en base-image. U compileert, u hasht, u vergelijkt met de echte image van het toestel. Als de getallen niet overeenkomen — alarm. Onafhankelijke verificateurs zoals Citizen Lab en EFF maken deel uit van de lancering.
Elke OTA vereist drie onafhankelijke handtekeningen (release, beveiliging, ops), een manifest en een overeenkomende binaire hash. Zelfs als één sleutel gestolen wordt, blijft de update geblokkeerd. We gebruiken ook delta-updates (≤500 MB) in plaats van volledige images van 4–8 GB, zodat updates voltooien via satelliet of zwakke mobiele verbinding.
Eerst op de Pixel 8 Pro, daarna Pixel 9 Pro en Pixel 9. Een Fairphone 6-build wordt door partners getest voor de Europese markt. Een schoon-vel-referentietoestel — open secure element, dubbele satellietradio's, verwisselbare batterij, optionele Faraday-voering — is het langetermijndoel.
Beta-lijsten openen eerst voor geselecteerde journalisten, mensenrechtenverdedigers en ontwikkelaars. De volledige soevereine kern is al in productie; de gebruikersgerichte apps en de satellietstack worden nu verfijnd. Mobile World Congress 2027 is de publieke onthulling.
Echt niet. Het inschrijfformulier stuurt een willekeurig token van 32 bytes vanuit uw browser plus een regiobucket — meer niet. Geen e-mail, geen IP, geen IMEI, geen telefoonnummer, geen locatie. Het privacybeleid wordt afgedwongen op de laag van het besturingssysteem door een geautomatiseerde test die de build laat falen als er ooit ruwe data lekt.
SCHRIJF U IN
Om u op de lanceringsdag te herkennen, hebben we alleen een eenmalig willekeurig token nodig dat uw browser lokaal genereert — plus de brede regio waarin u zich bevindt. Geen e-mail, geen IMEI, geen IP. U krijgt twee weken voordat de beta-eenheden worden verzonden bericht.
Om je op de lanceringsdag te herkennen vragen we slechts twee dingen: een willekeurig eenmalig token dat je browser lokaal genereert, en de globale regio waarin je je bevindt. Geen e-mail, geen IMEI, geen IP. Nooit.
▸ 32-byte willekeurig token gegenereerd in je browser · de payload bevat alleen het token + de regio · geen andere data verlaat je apparaat