Construído sobre o Android. Reforçado em cada camada do sistema operacional. Suas chaves privadas ficam no chip seguro do dispositivo e nunca saem dele. Quando todo o resto falha, o SOS continua funcionando.
CADA TELA, EXPLICADA
A prévia compacta no topo percorre automaticamente as seis telas principais. Abaixo, a prévia completa permite fixar uma delas, ler o que ela de fato mostra e inspecionar as quatro decisões de design por trás dela.
INÍCIO
Seus apps, seus mensageiros, sua carteira — além de um pequeno conjunto de apps LyDos para identidade soberana, a cadeia de auditoria e a malha de emergência.
Todos os apps da Play Store e instalados manualmente rodam em sandbox — do jeito que o Android faz.
ID, Carteira, Mensageiro, Resiliência, Auditoria — pequenos, assinados, auditáveis.
Sem anúncios, sem pop-ups de telemetria, sem padrões obscuros. Esta é a sua tela inicial.
Trabalho, viagem, imprensa — perfis separados com suas próprias permissões e apps.
COMO FUNCIONA
Chaves protegidas por hardware que ficam com você · um sistema imunológico que vigia o SO · atualizações que exigem três assinaturas independentes. Sem esses três, o resto da pilha não importa. Com eles, o telefone consegue se defender sozinho.
A chave privada que prova que é você fica trancada dentro do chip seguro do telefone. Nossos servidores nunca a veem. Para extraí-la, um invasor precisaria desmontar fisicamente o chip — só com software não é possível copiá-la.
Embutido no sistema operacional: um sistema imunológico que vigia adulterações, anomalias e comportamentos impossíveis. Ele pode discretamente rebaixar o telefone para o modo seguro — ou, se necessário, bloqueio total — mantendo a transmissão de SOS ativa.
Toda atualização over-the-air precisa ser assinada por três papéis independentes — engenharia de release, segurança e operações — e o hash do seu binário precisa bater. Se faltar uma única assinatura, o telefone se recusa a instalá-la.
IDENTIDADE SOBERANA
No LyDos, uma identidade é derivada das chaves do seu dispositivo: calculada off-line, idêntica em todos os dispositivos, sem pertencer a nenhum servidor. A malha viva é o quórum de motores soberanos que a avaliza.
Cada rosto é derivado de forma determinística de um identificador descentralizado (DID). Nenhuma imagem é armazenada ou buscada — a mesma semente desenha o mesmo avatar em todos os dispositivos, off-line.
A identidade não precisa de galeria de fotos — a chave é o rosto.
Desenhado no dispositivo a partir da semente; nada é enviado.
Um único DID é renderizado de forma idêntica em todos os dispositivos LyDos.
Gire a chave e a identidade é re-derivada de forma limpa.
AINDA É ANDROID
O LyDos Phone roda sobre o AOSP 15. Você mantém o Android que conhece — apps, loja, push, ecossistema — mas o sistema operacional por baixo se defende e se comprova de maneiras que o Android de fábrica não consegue.
Base AOSP 15. Todos os apps que você já usa continuam funcionando — reforçamos a base, não o teto.
Construído sobre o AOSP 15. O sandbox da Play Store, APKs carregados manualmente, seus mensageiros, apps bancários, ferramentas de trabalho e jogos rodam exatamente como no Android padrão — as suítes CTS compatíveis com Treble + LyDos CTS passam em todo release.
O GMS roda como um app de usuário sem privilégios, não como um componente do sistema. Alternância por perfil para habilitá-lo ou desabilitá-lo. Apps que dependem dele continuam opcionais; apps que não dependem nunca o veem.
Rede, escopos de armazenamento, sensores, contatos, localização, área de transferência — alternáveis por app, por sessão. Os padrões são negar. Salve perfis (Trabalho · Viagem · Imprensa) e troque com um toque.
As chaves de criptografia baseada em arquivos são protegidas pelo chip seguro, não apenas pela sua senha. Perca o chip — perca os dados. Sem força bruta offline, sem transferência de chave para outro telefone.
Treze daemons em Rust que vigiam o SO, assinam toda decisão importante e se recusam a gravar quando a cadeia se rompe.
Chave-mestra selada no secure element, assinaturas ML-DSA-87. Os bytes privados nunca saem do chip; o espaço de usuário só vê uma impressão digital. O kslctl expõe contadores e tarefas de rotação.
247 ganchos de kernel + syscall vigiados ao vivo. Máquina de estados: NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN. Em LOCKDOWN, toda gravação soberana é interrompida e marcada como LsiaVetoed antes de chegar ao motor.
Todo OTA carrega um manifesto assinado pelos responsáveis de Release + Security + Ops + Compliance. Quórum M-de-N, cobertura de papéis, SHA-256 do binário verificado duas vezes (controlador + agente). A rejeição é fail-closed — sem --skip-checks.
Toda decisão importante (assinatura, permissão, política, atualização) é anexada a um log encadeado por hash em uma partição write-once. Adultere qualquer entrada e a cadeia se rompe visivelmente no próximo attest de boot.
A Default Settlement Layer é o único caminho pelo qual os apps podem assinar. A emissão de auditoria precisa ter sucesso antes de o KSL assinar; se a auditoria falhar, a assinatura nunca acontece. Não existe caminho liquidado-sem-rastro.
Consistência entre nós (GCE) e federação de padrões com preservação de privacidade (GCI). Apenas sinais com hash e prefixos de IP /24 saem do dispositivo. Cargas brutas, e-mails, ids de usuário — nunca.
Quando a rede celular cai, o telefone continua se comunicando. Oito caminhos de rádio independentes, cell broadcasts assinados, combinações de kill-switch.
Chamadas de emergência e SOS funcionam sem SIM, em qualquer operadora ou com o modem celular desligado — por satélite ou malha. Os cell broadcasts AFAD/EU-Alert/WEA são verificados por assinatura antes de chegarem à tela de bloqueio.
Socorro Cospas-Sarsat, short-burst Iridium, Starlink Direct-to-Cell, 3GPP NTN, LoRa multi-hop, Wi-Fi Aware, malha Bluetooth, ultra-wideband. O SOS é roteado por aquele que estiver mais saudável — failover automático, sem menu.
O transporte Disruption-Tolerant Networking enfileira mensagens no dispositivo e as replica por telefones LyDos vizinhos quando a rede celular desaparece. Largura de banda agendada, persistida entre reinicializações.
O ResilienceService, iniciado no boot-completed, sobe antes do launcher — a telemetria de malha nunca fica no escuro. A combinação de kill-switch (volume-para-baixo ×3 + power por 3 s) apaga o dispositivo, mas só depois de o apagamento ser auditado.
Apps que precisam confiar no telefone provam isso criptograficamente, sem descobrir quem você é.
Android Verified Boot + atualização confiável LyDos + atestação no dispositivo. Cada camada assina a próxima. Se qualquer assinatura se romper no boot, o telefone entra em modo SAFE automaticamente e a cadeia explica o porquê.
Bancos e suítes de trabalho recebem uma atestação remota de que este é um LyDos Phone real e inviolado, com uma cadeia de boot conhecida — sem descobrir seu DID, seus apps ou sua localização. Identidade do app, não identidade do usuário.
DID derivado deterministicamente da impressão digital da chave-mestra KSL — sem emissor central. O provador Halo2 roda no dispositivo; a testemunha nunca cruza a fronteira do binder. Prove um fato e não revele nada além disso.
As notificações de apps críticos passam por um canal de push assinado no dispositivo. Sem dependência do Google Cloud Messaging — seu mensageiro continua entregando mesmo sem GMS, e uma notificação falsificada é rejeitada no canal.
Builds reproduzíveis, pacotes assinados e uma CLI de status que você mesmo pode executar.
factory-img-builder + release-pack-signer produzem imagens de fábrica determinísticas. O SHA-256 é publicado junto com o build; compile o código-fonte você mesmo, gere o hash do resultado e compare. Se os números não baterem — soe o alarme.
Um único comando despeja o estado ao vivo de todos os 13 motores: contadores do KSL, modo do LSIA, último release verificado do TUP, cabeça da cadeia do ASR, drift do GCE, peers de malha. Saída somente leitura e assinada que você pode colar em um relatório de bug.
O ota-delta mantém a largura de banda de atualização mínima em links de satélite. As chaves dos responsáveis são rotacionadas por uma cerimônia documentada em gaiola de Faraday — air-gapped, híbrida ed25519 + Dilithium3, com mode 0400 imposto.
OS 13 MOTORES
Cada motor vigia os outros. Se um for silenciado, os demais param de gravar. Se um assinar falsamente, a cadeia detecta. Não adicionamos recursos ao Android — adicionamos um sistema nervoso soberano.
Sua chave privada nunca sai do Secure Element. Nossos servidores nunca a veem.
Toda ação crítica (pagamento, instalação OTA, mudança de política) exige uma assinatura no próprio dispositivo.
Sistema imunológico em nível de SO — reduz automaticamente de normal → seguro → bloqueio ao detectar ameaça.
Veto eBPF em nível de kernel. Em bloqueio, toda gravação soberana é cancelada — o SOS continua funcionando.
Nenhuma atualização é instalada sem três assinaturas independentes (release + segurança + ops).
Índice de rollback AVB + patch delta assinado (≤500 MB) + emissão de trilha de auditoria.
Quando um telefone detecta uma exploração, todos os telefones aprendem — sem nunca compartilhar seus dados.
Apenas padrões com hash SHA-256 + blocos de região circulam pela frota. Sem IPs. Sem e-mails.
Toda decisão importante é registrada em um livro-razão somente-anexação, encadeado por hash, que você pode inspecionar.
Partição WORM de nível forense. Quebras na cadeia disparam alarmes.
Decisões críticas exigem que 2 de 3 nós independentes concordem. Nenhum ponto único de falha.
Consenso multinó sobre uma rede federada — degrada de forma controlada durante interrupções.
Hierarquia de chaves em camadas com a chave raiz trancada dentro de um módulo de segurança de hardware.
A cerimônia de raiz exige M-de-N oficiais; as chaves intermediárias são rotacionadas anualmente.
Os segredos são selados ao estado medido do seu dispositivo — recusam-se a abrir em um telefone adulterado.
Selagem com ARM TrustZone + StrongBox. Desafio de atestação remota para fluxos sensíveis.
Cada transação carrega uma prova individual. Invariantes de partidas dobradas são impostas em tempo real.
Pagamentos exigem assinatura no dispositivo + gate de política + cadeia de custódia. Sem fallbacks silenciosos.
Hardware → bootloader → kernel → espaço de usuário → app → grafo de confiança. Cada camada audita a de baixo.
Se a cadeia de atestação se romper no boot, o telefone entra em modo seguro automaticamente.
Assinado + aprovado + comprovado = liquidado. Não há outro caminho. Atalhos silenciosos são impossíveis.
A máquina de estados de liquidação rejeita qualquer transação que não tenha as três provas exigidas.
Detecta desvio de estado entre nós e degrada automaticamente as gravações até o consenso ser restaurado.
Divergência da raiz Merkle aciona o modo degradado — as leituras continuam, as gravações pausam até ficar seguro.
Credenciais vinculadas ao dispositivo e manifestos assinados continuam funcionando mesmo sem internet por semanas.
Manifestos de app assinados + cache de política offline + proteção contra replay.
O QUE ELE FAZ
Cada item abaixo é um comportamento real e mensurável — testado em hardware real, verificável por qualquer um que leia o código-fonte. Sem promessas que não sustentamos com um artefato de build.
Pipeline de transmissão de alerta antecipado em frações de segundo. Reúne sete fontes governamentais independentes — AFAD-TR, JMA Japão, USGS, EMSC Europa, KMA Coreia, NDMA Índia, PHIVOLCS — e emite um alerta autenticado antes de o tremor chegar até você.
Quando as torres de celular falham, seu telefone continua falando — por meio de LoRa, Wi-Fi Aware, BLE Mesh, NFC, ultrassom e alternativas FM-RDS. Testado sob estresse com a queda deliberada de 60% dos nós em simulações de desastre.
Se o telefone for atacado, perdido, bloqueado ou até em seu estado de segurança mais alto, a transmissão de SOS permanece ativa. Sem necessidade de senha. Sem exceção. A tela pode estar apagada, o SO pode estar congelado — a baliza sai mesmo assim.
Um novo formato de patch reduz as atualizações completas do Android em 20× — para que de fato concluam por satélite ou sinal celular ruim. Cada patch é assinado, verificado por hash, com tamanho limitado e recusado se algo parecer errado.
Todas as assinaturas críticas usam padrões pós-quânticos da NIST (ML-DSA, ML-KEM, SLH-DSA). Quando o terreno criptográfico mudar sob o setor, este telefone já estará lá. O modo híbrido mantém os sistemas antigos funcionando.
Um interruptor físico real no hardware da Edição Imprensa. Segure uma combinação de três segundos para revogar instantaneamente a chave do dispositivo, apagar os dados do usuário e selar a trilha de auditoria. Usado por jornalistas e defensores de direitos humanos em fronteiras.
Toda decisão importante que o telefone toma é encadeada em uma cadeia de hash — o tipo de registro forense que você pode levar a um tribunal. Manipulá-lo exige quebrar o SHA-256 retroativamente.
Apenas padrões com hash e blocos de região saem do dispositivo. Sem IP bruto, sem e-mail, sem número de telefone, sem coordenada de GPS. Isto não é uma escolha de política — é imposto na camada do sistema operacional com testes em tempo de execução.
Publicamos o código-fonte exato, as flags de build e a imagem base de cada versão. Você compila, gera o hash e compara com o seu dispositivo. Se os números não baterem — alarme. Nenhum backdoor pode se esconder em algo que você mesmo compilou.
QUANDO A REDE FALHA
Oito caminhos de rádio independentes, balizas de socorro por satélite, mensagens com armazenamento e encaminhamento que saltam por telefones vizinhos. Testado em um simulado governamental de terremoto de magnitude 7.2 — alertas em menos de três segundos, 95% de entrega das mensagens com 60% da rede fora do ar.
O telefone as tenta em ordem, de cima para baixo. A primeira que conectar vence. Se as torres de celular, a internet e o Wi-Fi tiverem desaparecido, ele ainda pode enviar uma baliza por satélite — ou saltar por telefones vizinhos via LoRa, Bluetooth e Wi-Fi.
Baliza de socorro — funciona em qualquer lugar da Terra
Texto curto e ping
Mensagens convencionais e dados leves
Mensagens de baixo consumo no estilo IoT
Mensagens telefone a telefone, multissalto
Malha de curto alcance + medição de distância interna
Roteamento por multidão em áreas urbanas
Localização interna com exatidão centimétrica
SIMULADO DE DESASTRE · EXERCÍCIO GOVERNAMENTAL
COMPARE
GrapheneOS, CalyxOS, /e/OS, NitroPhone, Purism Librem 5, Pine64, Pixel de fábrica. Construído a partir de documentação pública. Sem retórica. Confira cada célula.
| Dimensão | LyDos Phone AOSP 15 + LyDos sovereign stack | GrapheneOS AOSP + hardened userspace | CalyxOS AOSP + microG | /e/OS (Murena) LineageOS + deGoogle | NitroPhone (Nitrokey) GrapheneOS pre-installed | Purism Librem 5 PureOS (Linux) | Pine64 PinePhone Pro Multiple distros | Pixel + stock Android AOSP + Google Play |
|---|---|---|---|---|---|---|---|---|
| Interruptor físico de emergência | Sim | Parcial | Parcial | Não | Sim | Sim | Sim | Não |
| Modelo de assinatura de atualização | Quórum de 3 assinaturas | Chave única | Chave única | Fornecedor único | Chave única | Assinado pelo usuário | Assinado pelo usuário | Fornecedor único |
| Imunidade entre dispositivos | Somente hash | Nenhum | Nenhum | Telemetria opcional | Nenhum | Nenhum | Nenhum | Telemetria opcional |
| Criptografia pós-quântica | Em produção | Planejado | Nenhum | Nenhum | Planejado | Nenhum | Nenhum | Planejado |
| Build reproduzível | Verificado | Verificado | Parcial | Parcial | Verificado | Parcial | Parcial | Nenhum |
| Imunidade automática | Nível de kernel | Apenas sandbox | Apenas sandbox | Apenas sandbox | Apenas sandbox | Nenhum | Nenhum | Apenas sandbox |
| Modo jornalista | Primeira classe | Instalação manual | Instalação manual | Instalação manual | Instalação manual | Instalação manual | Instalação manual | Nenhum |
Fontes: LyDos Phone → this site · GrapheneOS → grapheneos.org · CalyxOS → calyxos.org · /e/OS (Murena) → murena.com · NitroPhone (Nitrokey) → nitrokey.com · Purism Librem 5 → puri.sm · Pine64 PinePhone Pro → pine64.org · Pixel + stock Android → android.com
DISPOSITIVOS
Um software, vários caminhos de hardware. O Pixel 8 Pro e o Pixel 9 Pro são os primeiros dispositivos para desenvolvedores e ativistas. A versão para o Fairphone 6 está em testes com parceiros para a Europa. O dispositivo de referência projetado do zero — elemento seguro aberto, satélite duplo, bateria removível — está em fase de design.
Primeiro Android totalmente soberano — atualizações assinadas já em produção.
Segunda onda — adiciona o fluxo de elemento seguro atestado por hardware.
Irmão do 9 Pro — mesmo software, corpo menor.
Versão de parceiro pausada até o fornecedor liberar o código-fonte. Não lançaremos sem ele.
PADRÕES ABERTOS
Nenhum protocolo fechado. Cada camada usa padrões públicos da NIST, IETF, OASIS, 3GPP, IEEE e ISO. Você pode auditar o que construímos — porque o que construímos já estava publicado.
TRANSPARÊNCIA
Cada versão vem com instruções de build determinístico e um manifesto assinado. Compile o código-fonte você mesmo, gere o hash do resultado e compare com a imagem no seu dispositivo. Se os números não baterem — soe o alarme.
BUILD REPRODUZÍVEL · PROVA AO VIVO
# Clone the public manifest, sync, build, verify. git clone --depth 1 https://git.lydos.ailydian.com/lydos/lydos-phone-manifest -b husky-2026.06.r1 repo init -u . && repo sync -j8 . build/envsetup.sh && lunch lydos_husky-user # Build the same image, then check the hash of your build against ours. m -j$(nproc) target-files-package ./verify-bundle.sh out/dist/lydos_husky-target_files-*.zip # expects: build_sha256 == published_release_sha256
Se o seu build não produzir o mesmo hash do release publicado, a imagem no dispositivo não veio deste código-fonte. Esse é o alarme. Não há outro caminho.
ONDE ESTAMOS
O núcleo soberano e a malha de emergência estão no ar e testados. Os apps voltados ao usuário e a pilha de satélite estão sendo refinados agora. O dispositivo de referência, as auditorias independentes e o lançamento público estão pela frente.
Soberania de chaves no dispositivo, motor de auto-imunidade, atualizações com três assinaturas, imunidade federada, registro de auditoria — tudo no ar.
Alertas de terremoto em menos de três segundos, fallback de oito rádios (LoRa, Bluetooth, Wi-Fi Aware, satélite), testado em simulados de desastre.
Launcher, mensageiro (Signal + pós-quântico + malha + satélite), carteira, IA no dispositivo, visualizador de auditoria — em refinamento para o beta.
Iridium, Starlink Direct-to-Cell, 3GPP não terrestre, Cospas-Sarsat — unificados atrás de um único túnel seguro.
Converse com carros (CAN, OBD-II), drones (MAVLink), barcos (NMEA + AIS), casa inteligente (Matter + Thread), indústria (OPC UA, BACnet).
Elemento seguro de silício aberto (OpenTitan), identidade fisicamente não clonável, criptografia resistente a canais laterais, interruptor físico de emergência.
Um novo dispositivo projetado do zero: elemento seguro aberto, satélite duplo, bateria removível, opção de revestimento Faraday.
Citizen Lab, Amnesty Tech, EFF — verificação independente antes do lançamento público. Artigos acadêmicos planejados para USENIX, IEEE S&P, DEF CON.
Primeira disponibilidade pública no Mobile World Congress 2027. Pilotos corporativos abrem antes; programa de imprensa e direitos humanos ainda mais cedo.
FASE DE SOFTWARE · W1 — W18
A fase de software foi encerrada em dezoito sprints públicos, cada um com um relatório datado em docs/SPRINT_W*.md. O que segue é o registro público do que foi entregue.
APPS SOBERANOS · W5 — W10
Todo app soberano conversa com um HAL real via binder. Quando o HAL está ausente, um sentinela tipado retorna falha — nunca um sucesso fabricado. A tabela completa de slots é congelada por um gate de CI em pytest.
Credenciais verificáveis. Provas Halo2. Nenhum PII cruza o binder.
Cenário · jornalista cruzando uma fronteira
O controle de fronteira quer saber se você tem mais de 18 anos. Você lhes entrega uma prova de conhecimento zero que afirma isso — sem sua data de nascimento, sem seu nome, sem uma consulta de número de telefone. O verificador vê uma resposta a um desafio de 32 bytes, nada mais.
EVM + Lightning. Assinatura de dispositivo KSL. Auditoria ASR antes da liquidação.
Cenário · agente humanitário de campo
Você está pagando 15 000 sats a um fornecedor local por um enlace de satélite. A carteira assina o pagamento via HAL DSL no dispositivo → a auditoria ASR emite a entrada da cadeia antes de a transação retornar sucesso. Se a auditoria falhar, a assinatura é abortada — nunca um pagamento liquidado-sem-rastro.
Assinatura híbrida PQ. Transporte multifaixa. Veto de faixa do LSIA.
Cenário · fonte em uma rede hostil
Sua matéria vai encontrar um editor pela primeira vez. A rede celular está envenenada, o Wi-Fi está sob escuta. O messenger roteia o envelope através de malha LRM + Iridium SBD, assina com a chave de dispositivo KSL e faz fallback faixa por faixa. Se o LSIA entrar em lockdown no meio do envio, o envelope é enfileirado — nunca é entregue por uma rota não confiável.
Visão somente leitura sobre o ledger ASR. Verificação de cadeia fora do dispositivo.
Cenário · responsável por conformidade
Um auditor pede: mostre-me todo evento de armar o kill-switch no Q2. Você lhe entrega o ledger ASR encadeado por hash. Ele puxa um único hash de ponta, verifica a cadeia inteira offline e confirma que nenhuma entrada foi reescrita — o dispositivo prova seu próprio histórico.
Instalação com quórum de papéis TUP. Emissão de auditoria ASR ANTES de o bit de instalação virar.
Cenário · engenheiro de SO publicando uma atualização
Chega um pacote de aplicação de 3 MB. O registry o entrega a ITupHal::verifyManifest. Três assinaturas (Segurança + Operações + Release) precisam todas conferir, a impressão digital do publicador não pode estar na lista de revogação, o SHA-256 do pacote precisa corresponder ao manifesto e uma auditoria ASR precisa ser emitida antes da instalação — se um único passo falhar, a instalação desmorona.
Inferência no dispositivo primeiro. PII redigido. Federação exige assinatura KSL.
Cenário · usuário fazendo uma pergunta privada
Você faz uma pergunta pessoal que inclui um número de telefone e um e-mail. O redator de PII remove ambos antes de o prompt sequer entrar no binder IInferenceHal. O daemon llama no dispositivo responde a partir de um modelo local assinado por TUP. Se você optar por federação, o digest SHA-512 do corpo da requisição é assinado por KSL; o endpoint de federação recebe apenas o prompt redigido + o cabeçalho do digest assinado.
Superfície GMS substituída por atestação soberana. UID do chamador nunca falsificado.
Cenário · desenvolvedor executando um app de terceiros
Um app de banco precisa da atestação Play Integrity. O sandbox NÃO chama o Google — ele retorna um token de integridade emitido localmente via atestação IKslHal. O PermissionBroker resolve o UID do chamador através de Binder.getCallingUid() (fornecido pelo kernel — o UID alegado pelo chamador é ignorado), executa a matriz PermissionShim e ou delega ao sistema ou nega silenciosamente.
Substituição da tela de bloqueio. Telemetria em malha. Combo de kill-switch.
Cenário · dispositivo de imprensa sob combo de pânico
Os guardas de fronteira exigem que você desbloqueie. Você segura o power, toca o volume-baixo três vezes em dois segundos e continua segurando por mais três segundos. Um daemon do lado do kernel emite HARDWARE_KILL_COMBO. O receiver checa o estado de bloqueio Press, emite uma auditoria ASR PRIMEIRO e então revoga a chave de dispositivo via IKslHal::deleteKey. O dispositivo não consegue mais assinar nada — nem mesmo seu próprio reset de fábrica.
Tela inicial ciente do modo. Cache de SystemProperties. Gate de política de lançamento de apps.
Cenário · usuário do dia a dia
Sua tela inicial mostra o que o dispositivo está de fato fazendo. O chip de status no topo reflete o modo LSIA em tempo real. O launcher se inscreve no ModeBroadcastBus — quando o sistema imune entra em modo seguro no meio do dia, seus tiles soberanos ganham uma borda vermelha suave e os tiles dependentes de federação ficam esmaecidos.
PIPELINE DE ENTREGA · W11 — W18
factory-img-builder produz um hash de manifesto determinístico. release-quorum coleta três assinaturas de papéis e prova que o build é reproduzível. lyd-flasher verifica o pacote no dispositivo antes de a primeira partição ser tocada.
CENAS DE CENÁRIO
Lado a lado: o que o Android padrão faz, o que o LYDOS faz. Mesmo hardware. Mesma rede. Invariante diferente.
VERSUS ANDROID PADRÃO
Comparação honesta — Pixel, Samsung, GrapheneOS, CalyxOS. As linhas destacadas são as que acreditamos importar mais para jornalistas, ONGs e operadores em risco.
| Recurso | LYDOS | Pixel | Samsung | GrapheneOS | CalyxOS |
|---|---|---|---|---|---|
| Local da chave mestra de assinatura | OpenTitan SE, selada | Titan M2, controlada pelo fornecedor | Cofre Knox, controlado pelo fornecedor | Titan M2, controlada pelo fornecedor | Titan M2, controlada pelo fornecedor |
| Quórum de assinatura de atualização | 3 papéis (Segurança + Ops + Release) | 1 parte (Google) | 1 parte (Samsung) | 1 parte (Graphene) | 1 parte (Calyx) |
| Ledger de auditoria | HAL ASR encadeado por hash, exportação no dispositivo | Não visível ao usuário | Logs de atestação Knox, retidos pelo fornecedor | Não visível ao usuário | Não visível ao usuário |
| Superfície GMS | Substituída por atestação soberana | Play Services completo | Play Services completo + Samsung | Play em sandbox | microG |
| Combo de kill-switch por hardware | vol-down + power × 3 + 3 s segurando → revogação de chave KSL | Power × 5 = chamada de emergência | Power × 3 = câmera | Não presente | Não presente |
| Malha de emergência | 8 caminhos (sat / LoRa / Wi-Fi Aware / malha BLE / UWB / 3GPP NTN / Iridium / Cospas-Sarsat) | SOS por satélite (apenas EUA) | SOS por satélite (apenas EUA) | Nenhuma | Nenhuma |
| Federação de IA no dispositivo | Assinada por KSL, endpoints em lista de permissão | Gemini na nuvem, controlado pelo fornecedor | Galaxy AI na nuvem, controlado pelo fornecedor | Desativada | Desativada |
| Paridade de localidade | TR · EN · AR · RU · FA, paridade total de chaves | 100+ localidades, paridade parcial | 100+ localidades, paridade parcial | Apenas EN com traduções da comunidade | Mista |
| Prova de build reproduzível | CLI repro-status · gate de CI | Parcial (desde o Android 14) | Não | Sim, periódica | Melhor esforço |
| Contagem pública de gates de CI | 177 frozen assertions (13 pytest + 164 cargo) | Apenas interno | Apenas interno | Verificações de build selecionadas | Verificações de build selecionadas |
EVIDÊNCIA DE GATES DE CI
Todo gate está em tools/ e sovereign-templates/*/cargo test --lib. Qualquer um pode clonar o repositório e executá-los.
tools/aidl-slot-check/test_slots.py · 3tools/i18n-audit/test_parity.py · 2tools/telemetry-smoke/test_pipeline.py · 4tools/press-edition/test_combo.py · 4lyd-flasher38factory-img-builder32release-quorum35telemetry-pipeline53press-hardware-combo6field_mismatches : 0 · policy_violations : 0 · extras_only_in_left : [] · extras_only_in_right : []
GLOBAL MESH — NO NODE STANDS ALONE
Below the apps and the engines sits a federation layer: twelve Rust crates that let LyDos phones discover each other, agree on what is true, carry an alert across a dead grid, and vouch for one another's audit history. Only hashed patterns and region buckets ever cross the wire — never an IP, an email, or an identity.
peer-discovery → roadmap-pin, all Rust, all shipped
hashed patterns + region buckets only (KURAL 23)
alerts and ledgers need independent witnesses, not one node
Encontra telefones soberanos próximos por meio de pacotes de anúncio assinados — e rejeita os falsos.
Um detector de falsificação pontua cada anúncio; balizas não assinadas ou retransmitidas nunca entram no registro de pares.
Dois telefones provam quem são um para o outro antes de um único byte de tráfego de malha fluir.
Autenticação mútua por desafio-nonce + negociação de capacidades, ancorada a uma sessão assinada por KSL — sem pares anônimos.
Cada par conquista uma pontuação de confiança a partir de como realmente se comporta na malha.
Métricas comportamentais alimentam um avaliador de confiança; um nó que se comporta mal é movido para o estado de quarentena e descartado.
As sessões de malha têm vida curta e renovam suas próprias chaves — uma chave capturada morre em minutos.
Tempo de vida limitado da sessão + renovação de chave agendada + lista de revogação; um par revogado é cortado no meio do fluxo.
Leva uma mensagem por muitos saltos quando nenhum telefone sozinho consegue alcançar o destino.
Cada salto adiciona sua própria assinatura e um detector de loop elimina ciclos — um caminho de retransmissão adulterado é comprovável.
Lembra os bons caminhos para que a próxima mensagem siga a rota rápida em vez de reinundar a malha.
Registros de caminho indexados e expirados por sinais de invalidação assinados — rotas obsoletas não conseguem permanecer.
Espalha um alerta de emergência por toda a região em segundos — uma vez, não mil vezes.
Envelopes OASIS CAP se difundem sob um quórum de múltiplas testemunhas; uma janela de deduplicação impede tempestades de alertas.
Uma federação pode atestar criptograficamente o histórico de auditoria de outra.
Recibos de testemunho Merkle entre federações com uma janela de disputa — um histórico forjado é contestável.
Quando algo ataca a frota, toda a frota tem um registro à prova de adulteração disso.
Cadeia de incidentes de toda a federação exportada para o ASR; os eventos são submetidos a hash, nunca brutos (KURAL 23).
Produz prova assinada de conformidade regulatória sem vazar os dados subjacentes.
Um assinador de atestação ciente do framework emite um pacote de divulgação regido por uma política de retenção explícita.
Observa se a federação cumpre suas promessas de entrega e latência.
Contadores de entrega + um histograma de latência alimentam um avaliador de SLA; um orçamento de quórum estourado dispara o alarme.
A federação concorda, por consenso, exatamente sobre qual build cada região pode executar.
Um manifesto de fixação assinado define o módulo + a janela de versão para que nenhuma região derive para um build não aprovado.
PERGUNTAS
Não. Forks reforçados reconstroem o Android com configurações padrão mais rígidas. O LyDos Phone vai mais fundo: treze motores de segurança e sete interfaces de hardware por baixo do SO transformam o dispositivo em um nó soberano que produz suas próprias provas. Acompanhamos o GrapheneOS upstream e reaproveitamos o que já funciona — não o substituímos, construímos sobre ele.
Sim. A chave privada mestra fica dentro do chip seguro (Titan M2, StrongBox, OpenTitan). Nossos servidores nunca a veem. Toda ação crítica — pagamentos, instalações OTA, mudanças de política — exige uma assinatura no próprio dispositivo. Mesmo se quiséssemos roubar sua chave, não conseguiríamos — por design.
Sim. O caminho do SOS permanece aberto em todos os modos de segurança — normal, degradado, seguro ou até bloqueio crítico. Sem necessidade de senha. Se o dispositivo for roubado, o usuário estiver inconsciente ou a tela não responder, a baliza de emergência sai mesmo assim por qualquer rádio que esteja ativo.
O telefone tenta oito alternativas em ordem: baliza de socorro por satélite Cospas-Sarsat → Iridium → Starlink Direct-to-Cell → 3GPP NTN → malha LoRa → Wi-Fi Aware → malha Bluetooth → ultra-wideband. As mensagens podem saltar de telefone em telefone por meio de redes tolerantes a atrasos — elas chegarão ao mundo mesmo que sua infraestrutura local tenha desaparecido.
Não. Todo o tráfego por satélite é envolvido em um túnel soberano com criptografia pós-quântica + AEAD e uma assinatura no próprio dispositivo. A operadora enxerga um pacote opaco e assinado — não o seu conteúdo. A camada de imunidade federada compartilha apenas padrões com hash e blocos de região — nunca o seu IP, o seu e-mail ou a sua localização.
Builds reproduzíveis. Publicamos o código-fonte exato, as flags de build e a imagem base de cada versão. Você compila, gera o hash e compara com a imagem real do dispositivo. Se os números não baterem — alarme. Verificadores independentes como o Citizen Lab e a EFF fazem parte do lançamento.
Toda atualização OTA precisa de três assinaturas independentes (release, segurança, ops), um manifesto e um hash de binário correspondente. Mesmo que uma única chave seja roubada, a atualização continua bloqueada. Também usamos atualizações delta (≤500 MB) em vez de imagens completas de 4–8 GB, para que as atualizações concluam por satélite ou por sinal celular fraco.
Primeiro no Pixel 8 Pro, depois no Pixel 9 Pro e no Pixel 9. Uma versão para o Fairphone 6 está em testes com parceiros para o mercado europeu. Um dispositivo de referência projetado do zero — elemento seguro aberto, rádios de satélite duplos, bateria removível, revestimento Faraday opcional — é a meta de longo prazo.
As listas do beta abrem primeiro para jornalistas selecionados, defensores de direitos humanos e desenvolvedores. O núcleo soberano completo já está em produção; os apps voltados ao usuário e a pilha de satélite estão sendo refinados agora. O Mobile World Congress 2027 será a revelação pública.
Realmente não coletamos. O formulário de inscrição envia um token aleatório de 32 bytes do seu navegador, além de um bloco de região — nada mais. Sem e-mail, sem IP, sem IMEI, sem número de telefone, sem localização. A política de privacidade é imposta na camada do sistema operacional por um teste automatizado que falha o build se algum dado bruto vazar.
ENTRE NA LISTA
Para reconhecer você no dia do lançamento, só precisamos de um token aleatório de uso único que seu navegador gera localmente — além da região ampla em que você está. Sem e-mail, sem IMEI, sem IP. Você será avisado duas semanas antes do envio das unidades beta.
Para reconhecer você no dia do lançamento, pedimos apenas duas coisas: um token aleatório único que seu navegador gera localmente e a região ampla em que você está. Sem e-mail, sem IMEI, sem IP. Nunca.
▸ token aleatório de 32 bytes gerado no seu navegador · a carga útil é apenas o token + a região · nenhum outro dado sai do seu dispositivo