ARCHITECTUUR
LyDos Phone draait dertien Rust-daemons op een gehard AOSP 15-fundament. Elke engine bewaakt de andere. Wordt er één tot zwijgen gebracht, dan stoppen de rest met schrijven. Tekent er één ten onrechte, dan betrapt de keten dat.
SETTLEMENT-FLOW
Dezelfde zes stappen voor een wallet-overschrijving, een ID-presentatie, een OTA-bevestiging, een rechtenverlening. Sla een stap over en de actie wordt niet afgewikkeld.
Wallet-overschrijving, ID-presentatie, OTA-bevestiging, rechtenwijziging. De app praat met een HAL — nooit rechtstreeks met KSL of ASR.
Als de modus CRITICAL_LOCKDOWN is, wordt de aanroep kortgesloten naar LsiaVetoed voordat ook maar één byte wordt geparseerd. Geen uitzonderingspad. KURAL 22 helemaal bovenaan afgedwongen.
De HAL schrijft een audit-entry in de append-only-keten. Faalt de emit (schijf vol, partitie alleen-lezen, hash-mismatch), dan geeft de keten Error terug en stopt de actie hier.
De canonieke bytes van de actie worden getekend door de hoofdsleutel binnen het secure element. ML-DSA-87 + Ed25519 hybride waar van toepassing. De privébytes verlaten nooit het toestel.
DSL geeft Settled terug met de handtekening, de ASR-kwitantiehash en de momentopname van de LSIA-modus. De app ontvangt een bewijs, niet alleen een ja.
Is de actie er een waar de federatie om geeft (verdacht IP-cluster, vervalste waarschuwingspoging), dan publiceert GCI gehasht patroon + /24-prefix + bedrag-bucket. De ruwe payload blijft op het toestel.
DE DERTIEN
/api/ksl/*Hoofdsleutel verzegeld in het secure element. ML-DSA-87-handtekeningen. Privébytes verlaten nooit de userspace — alleen een vingerafdruk komt naar boven. kslctl toont tellers en rotatietaken.
KURAL 18 — elke kritieke actie getekend of afgebroken.
/api/immunity/*247 kernel- + syscall-hooks live bewaakt. Toestandsmachine NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN. In LOCKDOWN wordt elke soevereine schrijfactie kortgesloten naar LsiaVetoed voordat ze de engine bereikt.
KURAL 22 — CRITICAL_LOCKDOWN overschrijft alles.
/api/tup/*Elke OTA draagt een manifest dat getekend is door Release-, Security-, Ops- en Compliance-officieren. M-of-N-quorum, roldekking, binaire SHA-256 tweemaal geverifieerd — controller + agent, defense-in-depth. Afwijzing is fail-closed.
KURAL 20 — geen deploy zonder TUP. Geen --skip-checks.
/api/asr/*Elke belangrijke beslissing (handtekening, recht, beleid, update) wordt toegevoegd aan een hash-geketende log op een write-once-partitie. Knoei met een entry en de keten breekt zichtbaar bij de volgende boot-attestatie.
Hash-geketend · append-only · forensisch-waardig.
/api/settlement/*Het enige pad waarlangs apps kunnen tekenen. De audit-emit moet slagen voordat KSL tekent; faalt de audit, dan vindt de handtekening nooit plaats. Settled = signed + approved + proven. Geen pad naar settled-zonder-spoor.
Apps kunnen daglimieten niet verhogen door geheugen te manipuleren.
/api/gce/*Detectie van toestandsdrift tussen nodes. Vergelijkt engine-heads over federatiepeers en degradeert automatisch wanneer de drift de tolerantie overschrijdt. Onenigheid leidt tot degraded, niet tot een stille merge.
Divergeer netjes. Convergeer nooit stilzwijgend.
/api/gci/*Privacybehoudende patroonfederatie. Alleen gehashte signalen, /24 IP-prefixen en bedrag-bucketed events verlaten het toestel. Ruwe payloads, e-mails, gebruikers-id's — verlaten het toestel nooit.
KURAL 23 — alleen gehashte/bucketed patronen verlaten het toestel.
/api/lrm/*Store-and-forward DTN-transport over LoRa multi-hop, Wi-Fi Aware, Bluetooth mesh en UWB. Bandbreedte per peer ingepland. Blijft behouden over herstarts. Press Edition houdt mesh-telemetrie in de lucht vóór de launcher.
SOS-baan blijft open in CRITICAL_LOCKDOWN.
/api/sat/*Cospas-Sarsat-noodbaken, Iridium short-burst data, Starlink Direct-to-Cell, 3GPP NTN. SOS verloopt via het gezondste pad — auto-failover, geen menu.
Carrier-onafhankelijke noodhulp, geen SIM vereist.
/api/lssa/*10-laagse architectuur van hardware-root-of-trust tot trust-graaf. Boot-pijplijn + AVB + LyDos trusted update + on-device attestatie. Elke laag tekent de volgende.
Elke breuk in de boot-keten → automatisch SAFE-modus.
/api/cc/*SGX / SEV measurement-verzegelde secrets. Gevoelige berekeningen worden aan een measurement verzegeld; verandert de OS-image, dan opent de verzegeling naar een ander beleid en blijft het secret verzegeld.
Secret-gebonden-aan-measurement, niet aan de gebruiker.
/api/{ledger,finance}/*Dubbele-boekhouding-grootboek met bewijs per transactie. Wallet (M243) routeert elke overschrijving via de DSL HAL: eerst ASR-emit → daarna KSL-tekening. Faalt de audit ⇒ tekenen breekt af.
Daglimiet afgedwongen door de HAL, niet door app-code.
/api/bus/*Cell-broadcast (AFAD WEA, EU-Alert, J-Alert) wordt op handtekening geverifieerd voordat ze het lockscreen bereikt. On-device getekend pushkanaal — meldingen kunnen niet vervalst worden en overleven de afwezigheid van GMS.
Overheidswaarschuwingen passeren de handtekeningpoort of vallen weg.
ONTWERPEIGENSCHAPPEN
Elke engine bewaakt de andere. Wordt er één tot zwijgen gebracht, dan stoppen de rest met schrijven. Tekent er één ten onrechte, dan betrapt de keten dat bij de volgende boot-attestatie.
Als verificatie breekt, is het antwoord afwijzen. Er bestaat geen --skip-checks-vlag. Geen stille fallback naar SQLite wanneer PG :5434 ontbreekt. Geen herhaling bij handtekening-mismatch.
De ASR-hashketen is de enige tijdlijn die telt. Elke andere engine kan afgeleid, opnieuw afgeleid of opgeofferd worden — de keten niet.
KURAL 23 — GCI deelt alleen gehashte patronen, /24 IP-prefixen, bedrag-buckets. E-mail, ruwe IP, gebruikers-id, payload — verlaten nooit het toestel. Afgedwongen op de engine-grens, niet via config.
115 soevereine routes zijn gedocumenteerd in /api. Engines worden geleverd als private Rust-crates onder sovereign-templates/.