FLUXO DE LIQUIDAÇÃO
Os mesmos seis passos para um envio de carteira, uma apresentação de identidade, uma confirmação de OTA, uma concessão de permissão. Pule um passo e a ação não se liquida.
Envio de carteira, apresentação de ID, confirmação de OTA, mudança de permissão. O app fala com uma HAL — nunca diretamente com o KSL ou o ASR.
Se o modo for CRITICAL_LOCKDOWN, a chamada é interrompida com LsiaVetoed antes de qualquer byte ser interpretado. Sem caminho de exceção. KURAL 22 imposto no topo.
A HAL grava uma entrada de auditoria na cadeia somente-anexação. Se a emissão falhar (disco cheio, partição somente-leitura, hash divergente), a cadeia retorna Error e a ação para aqui.
Os bytes canônicos da ação são assinados pela chave-mestra dentro do elemento seguro. Híbrido ML-DSA-87 + Ed25519 quando aplicável. Os bytes privados nunca saem.
O DSL retorna Settled com a assinatura, o hash do recibo do ASR e o snapshot do modo do LSIA. O app recebe uma prova, não apenas um sim.
Se a ação for uma das que interessam à federação (cluster de IP suspeito, tentativa de alerta forjado), o GCI publica padrão hasheado + prefixo /24 + faixa de valor. A carga bruta fica no dispositivo.
OS TREZE
/api/ksl/*Chave-mestra selada no elemento seguro. Assinaturas ML-DSA-87. Os bytes privados nunca cruzam o espaço de usuário — apenas uma impressão digital aflora. O kslctl expõe contadores e tarefas de rotação.
KURAL 18 — toda ação crítica é assinada ou abortada.
/api/immunity/*247 ganchos de kernel + syscall vigiados ao vivo. Máquina de estados NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN. Em LOCKDOWN, toda escrita soberana é interrompida com LsiaVetoed antes de alcançar o motor.
KURAL 22 — CRITICAL_LOCKDOWN se sobrepõe a tudo.
/api/tup/*Cada OTA carrega um manifesto assinado por oficiais de Release + Security + Ops + Compliance. Quórum M-de-N, cobertura de papéis, SHA-256 do binário verificado duas vezes — controlador + agente em defesa em profundidade. Rejeição é fail-closed.
KURAL 20 — nenhum deploy sem TUP. Sem --skip-checks.
/api/asr/*Toda decisão importante (assinatura, permissão, política, atualização) é anexada a um log encadeado por hash em uma partição write-once. Adultere qualquer entrada e a cadeia quebra de forma visível na próxima atestação de boot.
Encadeado por hash · somente anexação · grau forense.
/api/settlement/*O único caminho pelo qual os apps podem assinar. A emissão de auditoria precisa ter sucesso antes de o KSL assinar; se a auditoria falhar, a assinatura nunca acontece. Liquidado = assinado + aprovado + provado. Não há caminho liquidado-sem-rastro.
Apps não conseguem elevar limites diários adulterando memória.
/api/gce/*Detecção de divergência de estado entre nós. Compara as cabeças dos motores entre pares da federação e degrada automaticamente quando a divergência ultrapassa a tolerância. Discordância dispara o estado degraded, não uma mesclagem silenciosa.
Divirja de forma limpa. Nunca convirja em silêncio.
/api/gci/*Federação de padrões com preservação de privacidade. Apenas sinais hasheados, prefixos de IP /24 e eventos agrupados por faixa de valor saem do dispositivo. Cargas brutas, e-mails, IDs de usuário — nunca saem.
KURAL 23 — só saem padrões hasheados/agrupados.
/api/lrm/*Transporte DTN store-and-forward sobre LoRa multi-hop, Wi-Fi Aware, mesh Bluetooth e UWB. Largura de banda escalonada por par. Persiste entre reinicializações. A Press Edition mantém a telemetria de mesh ativa antes do launcher.
A via de SOS permanece aberta em CRITICAL_LOCKDOWN.
/api/sat/*Baliza de socorro Cospas-Sarsat, dados em rajada curta da Iridium, Starlink Direct-to-Cell, 3GPP NTN. O SOS é roteado pelo caminho mais saudável — failover automático, sem menu.
Emergência independente de operadora, sem SIM.
/api/lssa/*Arquitetura de 10 camadas, da raiz de confiança em hardware até o grafo de confiança. Pipeline de boot + AVB + atualização confiável LyDos + atestação no dispositivo. Cada camada assina a próxima.
Qualquer quebra da cadeia de boot → modo SAFE automático.
/api/cc/*Segredos selados à medição SGX / SEV. Computações sensíveis são seladas a uma medição; se a imagem do SO mudar, o selo se abre para uma política diferente e o segredo permanece selado.
Segredo atrelado à medição, não ao usuário.
/api/{ledger,finance}/*Ledger de partidas dobradas com prova por transação. A Carteira (M243) roteia cada envio pela HAL do DSL: emissão do ASR primeiro → assinatura do KSL depois. Auditoria falha ⇒ assinatura aborta.
Limite diário imposto pela HAL, não pelo código do app.
/api/bus/*A difusão por célula (AFAD WEA, EU-Alert, J-Alert) tem a assinatura verificada antes de chegar à tela de bloqueio. Canal de push assinado no dispositivo — notificações não podem ser forjadas e sobrevivem à ausência do GMS.
Alertas governamentais passam pelo crivo de assinatura ou caem.
PROPRIEDADES DE PROJETO
Cada motor vigia os outros. Se um for silenciado, os demais param de escrever. Se um assinar falsamente, a cadeia o flagra na próxima atestação de boot.
Quando a verificação quebra, a resposta é rejeitar. Não existe a flag --skip-checks. Sem fallback silencioso para SQLite quando o PG :5434 está ausente. Sem retentativa em divergência de assinatura.
A cadeia de hash do ASR é a única linha do tempo que importa. Todo outro motor pode ser derivado, re-derivado ou sacrificado — a cadeia não pode.
KURAL 23 — o GCI só compartilha padrões hasheados, prefixos de IP /24 e faixas de valor. E-mail, IP bruto, ID de usuário, carga — nunca saem do dispositivo. Imposto na fronteira do motor, não por configuração.
115 rotas soberanas estão documentadas em /api. Os motores são distribuídos como crates Rust privados sob sovereign-templates/.