Android tabanlı. İşletim sisteminin her katmanında sertleştirilmiş. Özel anahtarlarınız cihazın güvenli çipinde yaşar ve oradan asla çıkmaz. Geri kalan her şey çöktüğünde bile SOS çalışmaya devam eder.
HER EKRAN, AÇIKLANDI
Yukarıdaki kompakt önizleme altı temel ekranı kendiliğinden döndürür. Aşağıda, tam önizleme birini sabitlemenize, gerçekte ne gösterdiğini okumanıza ve arkasındaki dört tasarım kararını incelemenize olanak tanır.
ANA EKRAN
Uygulamalarınız, mesajlaşma uygulamalarınız, cüzdanınız — artı egemen kimlik, denetim zinciri ve acil durum mesh’i için küçük bir LyDos uygulamaları kümesi.
Tüm Play Store ve yandan yüklenen uygulamalar yalıtılmış (sandbox) çalışır — Android’in yaptığı şekilde.
Kimlik, Cüzdan, Messenger, Dayanıklılık, Denetim — küçük, imzalı, denetlenebilir.
Reklam yok, telemetri açılır pencereleri yok, karanlık desenler yok. Bu sizin ana ekranınız.
İş, seyahat, basın — kendi izinleri ve uygulamaları olan ayrı profiller.
NASIL ÇALIŞIR
Sizde kalan donanım destekli anahtarlar · OS’u izleyen bir bağışıklık sistemi · üç bağımsız imza gerektiren güncellemeler. Bu üçü olmadan yığının geri kalanının bir önemi yoktur. Bu üçü olduğunda telefon kendini savunabilir.
Sizin siz olduğunuzu kanıtlayan özel anahtar, telefonun güvenli çipinin içinde kilitli kalır. Sunucularımız onu asla görmez. Bir saldırganın onu çıkarabilmesi için çipi fiziksel olarak parçalaması gerekir — yalnızca yazılımla kopyalanamaz.
İşletim sisteminin içine yerleşik: kurcalamayı, anormallikleri ve imkânsız davranışları izleyen bir bağışıklık sistemi. SOS yayınını canlı tutarken telefonu sessizce güvenli moda — ya da gerekirse tam kilitlenmeye — indirebilir.
Her kablosuz güncelleme üç bağımsız rol tarafından imzalanmalıdır — release mühendisliği, güvenlik ve operasyon — ve ikili hash'i eşleşmelidir. Tek bir imza bile eksikse, telefon onu kurmayı reddeder.
EGEMEN KİMLİK
LyDos'ta bir kimlik, cihaz anahtarlarınızdan türetilir: çevrimdışı hesaplanır, her cihazda birebir aynıdır ve hiçbir sunucuya ait değildir. Canlı ağ, bu kimliğe kefil olan egemen motorların çoğunluk mutabakatıdır.
Her yüz, merkeziyetsiz bir tanımlayıcıdan (DID) deterministik olarak türetilir. Hiçbir görüntü saklanmaz veya getirilmez — aynı tohum, her cihazda çevrimdışı olarak aynı avatarı çizer.
Kimliğin fotoğraf albümüne ihtiyacı yok — anahtar, yüzün kendisidir.
Cihaz üzerinde tohumdan çizilir; hiçbir şey yüklenmez.
Tek bir DID, her LyDos cihazında birebir aynı görüntülenir.
Anahtarı döndürün, kimlik temiz biçimde yeniden türetilir.
HÂLÂ ANDROİD
LyDos Phone AOSP 15 üzerinde çalışır. Tanıdığınız Android’i bırakmazsınız — uygulamalar, mağaza, bildirimler, ekosistem — ama altındaki işletim sistemi kendini stok Android’in yapamayacağı şekilde savunur ve kanıtlar.
AOSP 15 tabanı. Halihazırda kullandığınız her uygulama çalışmaya devam eder — biz tavanı değil, zemini sertleştiriyoruz.
AOSP 15 üzerine kuruludur. Play Store sandbox'ı, yandan yüklenen APK'ler, mesajlaşma uygulamalarınız, bankacılık, iş araçları ve oyunlar tıpkı stok Android'deki gibi çalışır — Treble uyumlu CTS + LyDos CTS paketleri her sürümde geçer.
GMS, bir sistem bileşeni olarak değil, ayrıcalıksız bir kullanıcı uygulaması olarak çalışır. Etkinleştirmek veya devre dışı bırakmak için profil başına geçiş anahtarı vardır. Ona bağımlı uygulamalar isteğe bağlı kalır; bağımlı olmayanlar onu hiç görmez.
Ağ, depolama kapsamları, sensörler, kişiler, konum, pano — uygulama başına, oturum başına açılıp kapatılabilir. Varsayılanlar reddetmedir. Profilleri (İş · Seyahat · Basın) kaydedin ve tek dokunuşla geçiş yapın.
Dosya tabanlı şifreleme anahtarları yalnızca parolanızla değil, güvenli çip tarafından sarmalanır. Çipi kaybedin — veriyi kaybedin. Çevrimdışı kaba kuvvet saldırısı yok, başka bir telefona anahtar aktarımı yok.
İşletim sistemini izleyen, her önemli kararı imzalayan ve zincir koptuğunda yazmayı reddeden on üç Rust artalan süreci.
Ana anahtar güvenli öğede mühürlenir, ML-DSA-87 imzaları. Özel baytlar çipten asla çıkmaz; kullanıcı alanı yalnızca bir parmak izi görür. kslctl, sayaçları ve döndürme işlerini açığa çıkarır.
247 çekirdek + sistem çağrısı kancası canlı olarak izlenir. Durum makinesi: NORMAL → DEGRADED → SAFE → CRITICAL LOCKDOWN. LOCKDOWN'da her egemen yazma, motora ulaşmadan önce LsiaVetoed olarak kısa devre yaptırılır.
Her OTA, Release + Security + Ops + Compliance görevlileri tarafından imzalanmış bir manifest taşır. M/N çoğunluk, rol kapsamı, ikili SHA-256 iki kez doğrulanır (denetleyici + ajan). Reddetme fail-closed çalışır — --skip-checks yoktur.
Her önemli karar (imza, izin, politika, güncelleme) bir kez yazılabilen bölümdeki hash zincirli bir günlüğe eklenir. Herhangi bir girdiyi kurcalayın, zincir bir sonraki açılış doğrulamasında görünür biçimde kopar.
Default Settlement Layer, uygulamaların imzalayabileceği tek yoldur. KSL imzalamadan önce denetim kaydı başarılı olmalıdır; denetim başarısız olursa imza asla gerçekleşmez. İz bırakmadan uzlaşılan bir yol yoktur.
Düğümler arası tutarlılık (GCE) ve gizliliği koruyan örüntü federasyonu (GCI). Cihazdan yalnızca hash'lenmiş sinyaller ve /24 IP önekleri çıkar. Ham yükler, e-postalar, kullanıcı kimlikleri — asla.
Hücresel ağ kesildiğinde telefon konuşmaya devam eder. Sekiz bağımsız radyo yolu, imzalı hücre yayınları, kill-switch kombinasyonları.
Acil aramalar ve SOS, SIM olmadan, herhangi bir operatörde veya hücresel modem kapalıyken çalışır — uydu veya mesh üzerinden. AFAD/EU-Alert/WEA hücre yayınları, kilit ekranına ulaşmadan önce imzayla doğrulanır.
Cospas-Sarsat tehlike sinyali, Iridium kısa patlama, Starlink Direct-to-Cell, 3GPP NTN, LoRa çoklu atlama, Wi-Fi Aware, Bluetooth mesh, ultra-wideband. SOS, hangisi en sağlıklıysa onun üzerinden yönlendirilir — otomatik yedeğe geçiş, menü yok.
Disruption-Tolerant Networking taşıması, mesajları cihazda kuyruğa alır ve hücresel ağ yokken komşu LyDos telefonları üzerinden çoğaltır. Bant genişliği zamanlanır, yeniden başlatmalar boyunca kalıcı kalır.
Boot-completed ResilienceService, başlatıcıdan önce ayağa kalkar — mesh telemetrisi asla karanlığa gömülmez. Kill-switch kombinasyonu (sesi kıs ×3 + güç 3 sn) cihazı siler, ancak yalnızca silme işlemi denetlendikten sonra.
Telefona güvenmesi gereken uygulamalar bunu, kim olduğunuzu öğrenmeden kriptografik olarak kanıtlar.
Android Verified Boot + LyDos güvenilir güncelleme + cihaz üzerinde doğrulama. Her katman bir sonrakini imzalar. Açılışta herhangi bir imza koparsa telefon otomatik olarak SAFE moduna girer ve zincir nedenini açıklar.
Bankalar ve iş paketleri, bunun bilinen bir açılış zincirine sahip gerçek, kurcalanmamış bir LyDos Phone olduğuna dair uzaktan bir doğrulama alır — DID'inizi, uygulamalarınızı veya konumunuzu öğrenmeden. Kullanıcı kimliği değil, uygulama kimliği.
DID, KSL ana parmak izinden deterministik olarak türetilir — merkezi bir veren yoktur. Halo2 kanıtlayıcısı cihaz üzerinde çalışır; tanık asla binder sınırını geçmez. Bir gerçeği kanıtlayın, başka hiçbir şeyi açığa çıkarmayın.
Kritik uygulamalara yönelik bildirimler, cihaz üzerinde imzalanmış bir push kanalından geçer. Google Cloud Messaging bağımlılığı yok — mesajlaşma uygulamanız GMS olmadan bile teslim etmeye devam eder ve sahte bir bildirim kanalda reddedilir.
Yeniden üretilebilir derlemeler, imzalı paketler ve kendiniz çalıştırabileceğiniz bir durum CLI'sı.
factory-img-builder + release-pack-signer deterministik fabrika imajları üretir. SHA-256, derlemeyle birlikte yayımlanır; kaynağı kendiniz derleyin, sonucu hash'leyin, karşılaştırın. Sayılar eşleşmiyorsa — alarmı çalın.
Tek komut, 13 motorun tümünün canlı durumunu döker: KSL sayaçları, LSIA modu, TUP son doğrulanan sürüm, ASR zincir başı, GCE sapması, mesh eşleri. Bir hata raporuna yapıştırabileceğiniz salt okunur, imzalı çıktı.
ota-delta, uydu bağlantılarında güncelleme bant genişliğini minik tutar. Görevli anahtarları, belgelenmiş bir Faraday kafesi töreniyle döndürülür — hava boşluklu, ed25519 + Dilithium3 hibrit, mod 0400 zorunlu kılınır.
13 MOTOR
Her motor diğerlerini izler. Biri susturulursa, geri kalanı yazmayı durdurur. Biri sahte imza atarsa, zincir bunu yakalar. Android’e özellik eklemedik — egemen bir sinir sistemi ekledik.
Özel anahtarınız Güvenli Element'ten asla çıkmaz. Sunucularımız onu asla görmez.
Her kritik işlem (ödeme, OTA kurulumu, politika değişikliği) cihaz üzerinde bir imza gerektirir.
OS düzeyinde bağışıklık sistemi — tehdit anında otomatik olarak normal → güvenli → kilitlenme moduna iner.
Çekirdek düzeyinde eBPF vetosu. Kilitlenmede her egemen yazma iptal edilir — SOS yine de çalışır.
Üç bağımsız imza (release + security + ops) olmadan hiçbir güncelleme kurulmaz.
AVB geri alma indeksi + imzalı delta yaması (≤500 MB) + denetim izi yayımı.
Bir telefon bir istismarı fark ettiğinde, tüm telefonlar öğrenir — verileriniz asla paylaşılmadan.
Filo genelinde yalnızca SHA-256 hash'lenmiş desenler + bölge grupları yayılır. IP yok. E-posta yok.
Her önemli karar, inceleyebileceğiniz yalnızca-ekleme yapılan, hash-zincirli bir defterde kaydedilir.
Adli düzeyde bir-kez-yaz-çok-kez-oku bölümü. Zincir kırılmaları alarmdır.
Kritik kararlar 3 bağımsız düğümden 2'sinin mutabakatını gerektirir. Tek bir hata noktası yoktur.
Federatif bir ağ üzerinde çok düğümlü mutabakat — kesinti durumunda zarifçe geri çekilir.
Kök anahtarın bir donanım güvenlik modülünün içinde kilitli olduğu katmanlı anahtar hiyerarşisi.
Kök töreni M-of-N görevli gerektirir; ara anahtarlar yıllık döner.
Sırlar cihazınızın ölçülmüş durumuna mühürlenir — kurcalanmış bir telefonda açılmayı reddederler.
ARM TrustZone + StrongBox mühürleme. Hassas akışlar için uzaktan doğrulama meydan okuması.
Her işlem işlem-başına bir kanıt taşır. Çift girişli değişmezler canlı olarak zorunlu tutulur.
Ödemeler cihaz üzerinde imza + politika kapısı + vesayet zinciri gerektirir. Sessiz geri çekilme yok.
Donanım → önyükleyici → çekirdek → kullanıcı alanı → uygulama → güven grafiği. Her katman bir altındakini denetler.
Önyüklemede doğrulama zinciri herhangi bir noktada kırılırsa, telefon otomatik olarak güvenli moda girer.
İmzalı + onaylı + kanıtlanmış = mutabık. Başka bir yol yoktur. Sessiz kestirmeler imkânsızdır.
Mutabakat durum makinesi, gerekli üç kanıttan herhangi biri eksik olan her işlemi reddeder.
Düğümler arası durum kaymasını tespit eder ve mutabakat geri gelene kadar yazmaları otomatik olarak kısıtlar.
Merkle kök ayrışması bozulmuş modu tetikler — okumalar devam eder, güvenli olana kadar yazmalar duraklar.
Cihaza bağlı kimlik bilgileri ve imzalı manifestolar, haftalarca internet olmadan bile çalışmaya devam eder.
İmzalı uygulama manifestoları + çevrimdışı politika önbelleği + tekrar saldırısı koruması.
NE YAPAR
Aşağıdaki her madde gerçek, ölçülebilir bir davranıştır — gerçek donanımda test edilmiş, kaynağı okuyan herkesçe doğrulanabilir. Bir derleme çıktısıyla destekleyemeyeceğimiz hiçbir söz vermiyoruz.
Saniye altı erken uyarı yayın hattı. Yedi bağımsız devlet kaynağından beslenir — AFAD-TR, JMA Japonya, USGS, EMSC Avrupa, KMA Kore, NDMA Hindistan, PHIVOLCS — ve sarsıntı size ulaşmadan önce doğrulanmış bir uyarı yayar.
Baz istasyonları çöktüğünde telefonunuz konuşmaya devam eder — LoRa, Wi-Fi Aware, BLE Mesh, NFC, ultrasonik ve FM-RDS alternatifleri üzerinden. Felaket simülasyonlarında düğümlerin %60'ı kasıtlı olarak düşürülerek strese sokuldu.
Telefon saldırıya uğrasa, kaybolsa, kilitlense veya en yüksek güvenlik durumunda olsa bile SOS yayını açık kalır. Parola gerekmez. İstisna yok. Ekran kapalı olabilir, OS donmuş olabilir — sinyal çıkar.
Yeni bir yama biçimi, tam Android güncellemelerini 20× küçültür — böylece uydu veya kötü hücresel üzerinde gerçekten tamamlanır. Her yama imzalanır, hash-kontrolü yapılır, boyut-sınırlıdır ve bir şey yanlış görünürse reddedilir.
Tüm kritik imzalar NIST kuantum sonrası standartlarını kullanır (ML-DSA, ML-KEM, SLH-DSA). Kriptografik zemin sektörün altında kaydığında, bu telefon zaten oradadır. Hibrit mod eski sistemlerin çalışmasını sürdürür.
Basın Sürümü donanımında gerçek bir fiziksel anahtar. Cihaz anahtarını anında iptal etmek, kullanıcı verilerini silmek ve denetim izini mühürlemek için üç saniyelik bir kombinasyonu basılı tutun. Gazeteciler ve insan hakları savunucuları tarafından sınırlarda kullanılır.
Telefonun verdiği her önemli karar bir hash zincirine bağlanır — mahkemeye götürebileceğiniz türden adli bir kayıt. Manipülasyon, SHA-256'yı geriye dönük olarak kırmayı gerektirir.
Cihazdan yalnızca hash'lenmiş desenler ve bölge grupları çıkar. Ham IP yok, e-posta yok, telefon numarası yok, GPS koordinatı yok. Bu bir politika tercihi değildir — işletim sistemi katmanında çalışma-zamanı testleriyle zorunlu tutulur.
Her sürüm için tam kaynağı, derleme bayraklarını ve temel görüntüyü yayımlarız. Siz derlersiniz, siz hash'lersiniz, cihazınızla karşılaştırırsınız. Sayılar tutmuyorsa — alarm. Kendi inşa ettiğiniz bir şeyde hiçbir arka kapı saklanamaz.
ŞEBEKE ÇÖKTÜĞÜNDE
Sekiz bağımsız telsiz yolu, uydu imdat sinyalleri, komşu telefonlar üzerinden sıçrayan sakla-ve-ilet mesajlaşması. 7.2 büyüklüğünde bir devlet deprem tatbikatında test edildi — üç saniyenin altında uyarılar, ağın %60’ı gittiğinde %95 mesaj iletimi.
Telefon bunları yukarıdan aşağıya sırayla dener. İlk bağlanan kazanır. Baz istasyonları, internet ve Wi-Fi'nin hepsi gittiğinde bile bir uydu sinyali gönderebilir — ya da LoRa, Bluetooth ve Wi-Fi üzerinden komşu telefonlardan sıçrayabilir.
İmdat sinyali — Dünya'da her yerde çalışır
Kısa metin ve ping
Yaygın mesajlaşma ve hafif veri
Düşük güçlü IoT tarzı mesajlar
Telefondan telefona mesajlar, çok sekmeli
Kısa menzilli mesh + iç mekân mesafe ölçümü
Kentsel alanlarda kalabalık-yönlendirme
İç mekânda santimetre doğruluğunda konum
FELAKET TATBİKATI · DEVLET TATBİKATI
KARŞILAŞTIRMA
GrapheneOS, CalyxOS, /e/OS, NitroPhone, Purism Librem 5, Pine64, stok Pixel. Kamuya açık belgelerden derlendi. Süsleme yok. Her hücreyi tek tek doğrulayın.
| Boyut | LyDos Phone AOSP 15 + LyDos sovereign stack | GrapheneOS AOSP + hardened userspace | CalyxOS AOSP + microG | /e/OS (Murena) LineageOS + deGoogle | NitroPhone (Nitrokey) GrapheneOS pre-installed | Purism Librem 5 PureOS (Linux) | Pine64 PinePhone Pro Multiple distros | Pixel + stock Android AOSP + Google Play |
|---|---|---|---|---|---|---|---|---|
| Donanım kill-switch | Evet | Kısmi | Kısmi | Hayır | Evet | Evet | Evet | Hayır |
| Güncelleme imzalama modeli | 3-imzalı mutabakat | Tek anahtar | Tek anahtar | Tek tedarikçi | Tek anahtar | Kullanıcı-imzalı | Kullanıcı-imzalı | Tek tedarikçi |
| Cihazlar arası bağışıklık | Yalnızca hash'li | Yok | Yok | İsteğe bağlı telemetri | Yok | Yok | Yok | İsteğe bağlı telemetri |
| Kuantum sonrası kripto | Sevkiyatta | Planlanmış | Yok | Yok | Planlanmış | Yok | Yok | Planlanmış |
| Yeniden üretilebilir derleme | Doğrulanmış | Doğrulanmış | Kısmi | Kısmi | Doğrulanmış | Kısmi | Kısmi | Yok |
| Otomatik bağışıklık | Çekirdek düzeyinde | Yalnızca korumalı alan | Yalnızca korumalı alan | Yalnızca korumalı alan | Yalnızca korumalı alan | Yok | Yok | Yalnızca korumalı alan |
| Gazeteci modu | Birinci sınıf | Manuel kurulum | Manuel kurulum | Manuel kurulum | Manuel kurulum | Manuel kurulum | Manuel kurulum | Yok |
Kaynaklar: LyDos Phone → this site · GrapheneOS → grapheneos.org · CalyxOS → calyxos.org · /e/OS (Murena) → murena.com · NitroPhone (Nitrokey) → nitrokey.com · Purism Librem 5 → puri.sm · Pine64 PinePhone Pro → pine64.org · Pixel + stock Android → android.com
CİHAZLAR
Tek yazılım, birden çok donanım yolu. Pixel 8 Pro ve Pixel 9 Pro ilk geliştirici ve aktivist cihazlarıdır. Fairphone 6 derlemesi Avrupa için partner testlerindedir. Sıfırdan referans cihaz — açık güvenli element, çift uydu, çıkarılabilir batarya — tasarım aşamasındadır.
İlk tam egemen Android — imzalı güncellemeler şimdiden sevk ediliyor.
İkinci dalga — donanım-doğrulamalı güvenli element akışını ekler.
9 Pro'nun kardeşi — aynı yazılım, daha küçük gövde.
Partner derlemesi, tedarikçinin kaynak yayımına kadar duraklatıldı. Onsuz sevk etmeyeceğiz.
AÇIK STANDARTLAR
Kapalı protokol yok. Her katman kamuya açık NIST, IETF, OASIS, 3GPP, IEEE ve ISO standartlarını kullanır. İnşa ettiğimizi denetleyebilirsiniz — çünkü inşa ettiğimiz şey zaten yayımlanmıştı.
ŞEFFAFLIK
Her sürüm, deterministik derleme talimatları ve imzalı bir manifesto ile gelir. Kaynağı kendiniz derleyin, sonucu hash’leyin, cihazınızdaki görüntüyle karşılaştırın. Sayılar tutmuyorsa — alarmı çalın.
YENİDEN ÜRETİLEBİLİR DERLEME · CANLI KANIT
# Clone the public manifest, sync, build, verify. git clone --depth 1 https://git.lydos.ailydian.com/lydos/lydos-phone-manifest -b husky-2026.06.r1 repo init -u . && repo sync -j8 . build/envsetup.sh && lunch lydos_husky-user # Build the same image, then check the hash of your build against ours. m -j$(nproc) target-files-package ./verify-bundle.sh out/dist/lydos_husky-target_files-*.zip # expects: build_sha256 == published_release_sha256
Derlemeniz, yayımlanan sürümle aynı özeti üretmiyorsa, cihazdaki imaj bu kaynaktan gelmemiştir. Alarm budur. Başka bir yol yoktur.
NEREDEYİZ
Egemen çekirdek ve acil mesh canlı ve test edilmiş durumda. Kullanıcı tarafındaki uygulamalar ve uydu yığını şu anda cilalanıyor. Referans cihaz, bağımsız denetimler ve kamuya açık lansman ileride.
Cihaz üzerinde anahtar egemenliği, öz-bağışıklık motoru, üç imzalı güncellemeler, federatif bağışıklık, denetim defteri — hepsi canlı.
Üç saniyenin altında deprem uyarıları, sekiz telsizli alternatif (LoRa, Bluetooth, Wi-Fi Aware, uydu), felaket tatbikatlarında test edildi.
Başlatıcı, mesajlaşma (Signal + kuantum sonrası + mesh + uydu), cüzdan, cihaz üzerinde AI, denetim görüntüleyici — beta için cilalanıyor.
Iridium, Starlink Direct-to-Cell, 3GPP karasal olmayan, Cospas-Sarsat — tek bir güvenli tünelin arkasında birleştirildi.
Arabalarla (CAN, OBD-II), dronlarla (MAVLink), teknelerle (NMEA + AIS), akıllı evle (Matter + Thread), endüstriyle (OPC UA, BACnet) konuşun.
Açık silikonlu güvenli element (OpenTitan), fiziksel olarak klonlanamaz kimlik, yan kanal direnci olan kriptografi, donanım kill-switch.
Sıfırdan tasarlanmış yeni bir cihaz: açık güvenli element, çift uydu, çıkarılabilir batarya, Faraday astarı seçeneği.
Citizen Lab, Amnesty Tech, EFF — kamuya açık lansmandan önce bağımsız doğrulama. USENIX, IEEE S&P, DEF CON için akademik makaleler planlandı.
Mobile World Congress 2027'de ilk kamuya açık kullanılabilirlik. Kurumsal pilotlar daha erken açılır; basın ve insan hakları programı daha da erken.
YAZILIM FAZI · W1 — W18
Yazılım fazı, her biri tarihli bir raporla belgelenen on sekiz herkese açık sprintte kapandı: docs/SPRINT_W*.md. Aşağıda teslim edilenlerin kamuya açık kaydı yer alıyor.
EGEMEN UYGULAMALAR · W5 — W10
Her egemen uygulama, binder üzerinden gerçek bir HAL ile konuşur. HAL yoksa, tipli bir nöbetçi (sentinel) başarısızlık döndürür — asla hazır bir sahte başarı değil. Tam slot tablosu bir pytest CI kapısıyla dondurulmuştur.
Doğrulanabilir kimlik bilgileri. Halo2 kanıtları. Binder'ı hiçbir PII geçmez.
Senaryo · sınır geçen gazeteci
Sınır kontrolü 18 yaşından büyük olduğunuzu öğrenmek istiyor. Onlara bunu söyleyen bir sıfır-bilgi (zero-knowledge) kanıtı veriyorsunuz — doğum gününüz olmadan, adınız olmadan, telefon numarası sorgusu olmadan. Doğrulayıcı yalnızca 32 baytlık bir challenge yanıtı görür, başka hiçbir şey değil.
EVM + Lightning. KSL cihaz imzası. Tamamlamadan önce ASR denetimi.
Senaryo · insani yardım saha görevlisi
Bir uydu bağlantısı üzerinden yerel bir tedarikçiye 15 000 sats ödüyorsunuz. Cüzdan, ödemeyi cihaz üzerindeki DSL HAL ile imzalar → ASR denetimi, işlem başarı döndürmeden önce zincir kaydını yayar. Denetim başarısız olursa, imza iptal edilir — asla iz bırakmadan tamamlanmış bir ödeme olmaz.
Hibrit PQ imzalama. Çok şeritli taşıma. LSIA şerit vetosu.
Senaryo · düşman bir ağdaki kaynak
Haberiniz ilk kez bir editörle buluşuyor. Hücresel ağ zehirlenmiş, Wi-Fi dinleniyor. Mesajlaşma uygulaması zarfı LRM mesh + Iridium SBD üzerinden yönlendirir, KSL cihaz anahtarıyla imzalar ve şerit şerit geri çekilir. Gönderim sırasında LSIA kilitleme moduna geçerse, zarf kuyruğa alınır — asla güvenilmeyen bir rota üzerinden teslim edilmez.
ASR defterine salt-okunur görünüm. Zincir doğrulaması cihaz dışında.
Senaryo · uyum (compliance) görevlisi
Bir denetçi şunu istiyor: bana 2. çeyrekteki her kill-switch arm olayını göster. Onlara hash-zincirli ASR defterini veriyorsunuz. Tek bir uç (tip) hash çekiyorlar, tüm zinciri çevrimdışı doğruluyorlar ve tek bir kaydın bile yeniden yazılmadığını onaylıyorlar — cihaz kendi geçmişini kendisi kanıtlıyor.
TUP rol-quorum kurulumu. Kurulum biti değişmeden ÖNCE ASR denetim yayını.
Senaryo · güncelleme gönderen OS mühendisi
3 MB'lık bir uygulama paketi geliyor. Kayıt (registry) onu ITupHal::verifyManifest'e teslim eder. Üç imza (Güvenlik + Operasyon + Sürüm) hepsi doğrulanmalı, yayıncı parmak izi iptal listesinde olmamalı, paketin SHA-256'sı manifesti eşleşmeli ve kurulumdan önce bir ASR denetimi yayılmalıdır — herhangi bir adım başarısız olursa, kurulum çöker.
Önce cihaz üzerinde çıkarım. PII redakte edildi. Federasyon KSL imzası gerektirir.
Senaryo · özel bir soru soran kullanıcı
Bir telefon numarası ve bir e-posta içeren kişisel bir soru soruyorsunuz. PII redaktörü, istem (prompt) IInferenceHal binder'ına girmeden önce ikisini de temizler. Cihaz üzerindeki llama arka plan servisi, TUP imzalı yerel bir modelden yanıt verir. Federasyonu seçerseniz, istek gövdesinin SHA-512 özeti KSL ile imzalanır; federasyon uç noktası yalnızca redakte edilmiş istemi + imzalı özet başlığını alır.
GMS yüzeyi egemen doğrulama ile değiştirildi. Çağıran UID'si asla taklit edilemez.
Senaryo · 3. parti uygulama çalıştıran geliştirici
Bir banka uygulaması Play Integrity doğrulaması gerektiriyor. Kum havuzu Google'ı ARAMAZ — IKslHal doğrulaması aracılığıyla yerel olarak verilmiş bir bütünlük token'ı döndürür. PermissionBroker, çağıranın UID'sini Binder.getCallingUid() aracılığıyla çözer (çekirdek tarafından sağlanır — çağıranın iddia ettiği UID yok sayılır), PermissionShim matrisini çalıştırır ve ya sisteme devreder ya da sessizce reddeder.
Kilit ekranı değişimi. Mesh telemetri. Kill-switch kombinasyonu.
Senaryo · panik kombinasyonu altındaki basın cihazı
Sınır görevlileri kilidi açmanızı talep ediyor. Güç tuşunu basılı tutuyorsunuz, iki saniye içinde ses-kısma tuşuna üç kez dokunuyorsunuz, üç saniye daha basılı tutuyorsunuz. Çekirdek tarafındaki bir arka plan servisi HARDWARE_KILL_COMBO yayar. Alıcı Press kilit durumunu kontrol eder, ÖNCE bir ASR denetimi yayar, ardından IKslHal::deleteKey ile cihaz anahtarını iptal eder. Cihaz artık hiçbir şeyi imzalayamaz — kendi fabrika ayarlarına sıfırlamasını bile.
Mod-farkında ana ekran. SystemProperties önbelleği. Uygulama-başlatma politika kapısı.
Senaryo · günlük kullanıcı
Ana ekranınız cihazın gerçekte ne yaptığını gösterir. Üstteki durum çipi, LSIA modunu gerçek zamanlı yansıtır. Başlatıcı ModeBroadcastBus'a abone olur — bağışıklık sistemi gün ortasında güvenli moda geçtiğinde, egemen kutucuklarınız yumuşak kırmızı bir kenarlık alır ve federasyona bağımlı kutucuklar soluklaşır.
SEVKİYAT HATTI · W11 — W18
factory-img-builder deterministik bir manifest hash üretir. release-quorum üç rol imzası toplar ve derlemenin yeniden üretilebilir olduğunu kanıtlar. lyd-flasher, ilk bölüme dokunulmadan önce paketi cihaz üzerinde doğrular.
SENARYO KESİTLERİ
Yan yana: standart Android ne yapar, LYDOS ne yapar. Aynı donanım. Aynı ağ. Farklı değişmez (invariant).
STANDART ANDROID'E KARŞI
Dürüst karşılaştırma — Pixel, Samsung, GrapheneOS, CalyxOS. Vurgulanan satırlar, gazeteciler, STK'lar ve risk altındaki operatörler için en önemli olduğuna inandığımız satırlardır.
| Özellik | LYDOS | Pixel | Samsung | GrapheneOS | CalyxOS |
|---|---|---|---|---|---|
| Ana imzalama anahtarı konumu | OpenTitan SE, mühürlü | Titan M2, üretici-kontrollü | Knox kasası, üretici-kontrollü | Titan M2, üretici-kontrollü | Titan M2, üretici-kontrollü |
| Güncelleme imza quorum'u | 3 rollü (Güvenlik + Operasyon + Sürüm) | 1 taraflı (Google) | 1 taraflı (Samsung) | 1 taraflı (Graphene) | 1 taraflı (Calyx) |
| Denetim defteri | Hash-zincirli ASR HAL, cihaz üzerinde dışa aktarım | Kullanıcıya görünmez | Knox doğrulama günlükleri, üretici-tutulan | Kullanıcıya görünmez | Kullanıcıya görünmez |
| GMS yüzeyi | Egemen doğrulama ile değiştirildi | Tam Play Services | Tam Play Services + Samsung | Sandboxed Play | microG |
| Donanım kill-switch kombinasyonu | ses-kısma + güç × 3 + 3 sn basma → KSL anahtar iptali | Güç × 5 = acil arama | Güç × 3 = kamera | Mevcut değil | Mevcut değil |
| Acil durum mesh | 8 yol (sat / LoRa / Wi-Fi Aware / BLE mesh / UWB / 3GPP NTN / Iridium / Cospas-Sarsat) | Uydu SOS (yalnızca ABD) | Uydu SOS (yalnızca ABD) | Yok | Yok |
| Cihaz üzerinde yapay zeka federasyonu | KSL imzalı, izin listeli uç noktalar | Gemini bulut, üretici-kontrollü | Galaxy AI bulut, üretici-kontrollü | Devre dışı | Devre dışı |
| Yerel ayar (locale) paritesi | TR · EN · AR · RU · FA, tam anahtar paritesi | 100+ yerel ayar, kısmi parite | 100+ yerel ayar, kısmi parite | Yalnızca EN, topluluk çevirileriyle | Karışık |
| Yeniden üretilebilir derleme kanıtı | repro-status CLI · CI kapısı | Kısmi (Android 14'ten beri) | Hayır | Evet, periyodik | Mümkün olduğunca (best effort) |
| Herkese açık CI kapısı sayısı | 177 frozen assertions (13 pytest + 164 cargo) | Yalnızca dahili | Yalnızca dahili | Seçili derleme doğrulamaları | Seçili derleme doğrulamaları |
CI KAPISI KANITI
Her kapı şurada: tools/ ve sovereign-templates/*/cargo test --lib. Herkes depoyu klonlayıp bunları çalıştırabilir.
tools/aidl-slot-check/test_slots.py · 3tools/i18n-audit/test_parity.py · 2tools/telemetry-smoke/test_pipeline.py · 4tools/press-edition/test_combo.py · 4lyd-flasher38factory-img-builder32release-quorum35telemetry-pipeline53press-hardware-combo6field_mismatches : 0 · policy_violations : 0 · extras_only_in_left : [] · extras_only_in_right : []
GLOBAL MESH — NO NODE STANDS ALONE
Below the apps and the engines sits a federation layer: twelve Rust crates that let LyDos phones discover each other, agree on what is true, carry an alert across a dead grid, and vouch for one another's audit history. Only hashed patterns and region buckets ever cross the wire — never an IP, an email, or an identity.
peer-discovery → roadmap-pin, all Rust, all shipped
hashed patterns + region buckets only (KURAL 23)
alerts and ledgers need independent witnesses, not one node
Yakındaki egemen telefonları imzalı duyuru paketleri aracılığıyla bulur — ve sahtelerini reddeder.
Bir sahtecilik dedektörü her duyuruyu puanlar; imzasız veya tekrarlanmış sinyaller eş kayıt defterine asla girmez.
Tek bir bayt mesh trafiği akmadan önce iki telefon birbirine kim olduklarını kanıtlar.
Meydan okuma-nonce'lu karşılıklı kimlik doğrulama + yetenek müzakeresi, KSL-imzalı bir oturuma çapalanır — anonim eş yok.
Her eş, mesh üzerinde gerçekte nasıl davrandığından bir güven puanı kazanır.
Davranışsal metrikler bir güven değerlendiricisini besler; kötü davranan bir düğüm karantina durumuna alınır ve atılır.
Mesh oturumları kısa ömürlüdür ve kendilerini yeniden anahtarlar — ele geçirilmiş bir anahtar dakikalar içinde ölür.
Sınırlı oturum ömrü + zamanlanmış yeniden anahtarlama + iptal listesi; iptal edilmiş bir eş akış ortasında kesilir.
Hiçbir telefon hedefe tek başına ulaşamadığında bir mesajı birçok sekme boyunca taşır.
Her sekme kendi imzasını ekler ve bir döngü dedektörü çevrimleri öldürür — kurcalanmış bir aktarma yolu kanıtlanabilir.
İyi yolları hatırlar, böylece bir sonraki mesaj mesh'i yeniden taşmak yerine hızlı rotayı kullanır.
Yol kayıtları anahtarlanır ve imzalı geçersizleştirme sinyalleriyle yaşlandırılır — eskimiş rotalar oyalanamaz.
Bir acil durum uyarısını tüm bölgeye saniyeler içinde yayar — bir kez, bin kez değil.
OASIS CAP zarfları çok tanıklı bir mutabakat altında dağılır; bir tekilleştirme penceresi uyarı fırtınalarını durdurur.
Bir federasyon, bir diğerinin denetim geçmişi için kriptografik olarak kefil olabilir.
Federasyonlar arası Merkle tanık makbuzları, itiraz penceresiyle birlikte — sahte bir geçmişe itiraz edilebilir.
Filoya bir şey saldırdığında, tüm filonun bunun kurcalamaya-dayanıklı bir kaydı olur.
Federasyon çapında olay zinciri ASR'ye aktarılır; olaylar hash'lenir, asla ham olmaz (KURAL 23).
Altta yatan veriyi sızdırmadan düzenleyici uyumun imzalı kanıtını üretir.
Çerçeve-bilinçli doğrulama imzalayıcı, açık bir saklama politikasıyla yönetilen bir açıklama paketi yayar.
Federasyonun iletim ve gecikme sözlerini tutup tutmadığını izler.
İletim sayaçları + bir gecikme histogramı bir SLA değerlendiricisini besler; aşılmış bir mutabakat bütçesi alarmı çalar.
Federasyon, mutabakatla, her bölgenin tam olarak hangi derlemeyi çalıştırabileceği üzerinde anlaşır.
İmzalı bir sabitleme manifestosu modül + sürüm penceresini sabitler, böylece hiçbir bölge onaylanmamış bir derlemeye kaymaz.
SORULAR
Hayır. Sertleştirilmiş çatallamalar, Android’i daha katı varsayılanlarla yeniden derler. LyDos Phone daha derine iner: OS’un altındaki on üç güvenlik motoru ve yedi donanım arayüzü, cihazı kendi kanıtlarını üreten egemen bir düğüme dönüştürür. GrapheneOS’u upstream takip eder ve zaten çalışanı yeniden kullanırız — onun yerini almayız, üstüne inşa ederiz.
Evet. Ana özel anahtar güvenli çipin (Titan M2, StrongBox, OpenTitan) içinde yaşar. Sunucularımız onu asla görmez. Her kritik işlem — ödemeler, OTA kurulumları, politika değişiklikleri — cihaz üzerinde bir imza gerektirir. Anahtarınızı çalmak istesek bile çalamayız — tasarım gereği.
Evet. SOS yolu her güvenlik modunda açık kalır — normal, bozulmuş, güvenli veya hatta kritik kilitlenme. Parola gerekmez. Cihaz çalınırsa, kullanıcı bilinçsizse veya ekran yanıt vermiyorsa, acil sinyal yine de hayatta olan hangi telsizden çıkabiliyorsa oradan gönderilir.
Telefon sırayla sekiz alternatif dener: Cospas-Sarsat uydu imdat sinyali → Iridium → Starlink Direct-to-Cell → 3GPP NTN → LoRa mesh → Wi-Fi Aware → Bluetooth mesh → ultra-wideband. Mesajlar gecikmeye dayanıklı ağ üzerinden telefondan telefona sıçrayabilir — yerel altyapınız yok olsa bile dünyaya ulaşacaklardır.
Hayır. Tüm uydu trafiği, kuantum sonrası + AEAD şifreleme ve cihaz üzerinde bir imza ile egemen bir tünele sarılır. Operatör, içeriğini değil — opak, imzalı bir paket görür. Federatif bağışıklık katmanı yalnızca hash’lenmiş desenleri ve bölge gruplarını paylaşır — asla IP’nizi, e-postanızı veya konumunuzu değil.
Yeniden üretilebilir derlemeler. Her sürüm için tam kaynağı, derleme bayraklarını ve temel görüntüyü yayımlarız. Siz derlersiniz, siz hash’lersiniz, cihazın gerçek görüntüsüyle karşılaştırırsınız. Sayılar tutmuyorsa — alarm. Citizen Lab ve EFF gibi bağımsız doğrulayıcılar lansmanın bir parçasıdır.
Her OTA üç bağımsız imza (release, security, ops), bir manifesto ve eşleşen bir ikili hash gerektirir. Bir anahtar çalınsa bile güncelleme yine de engellenir. Ayrıca tam 4–8 GB görüntüler yerine delta güncellemeleri (≤500 MB) kullanırız, böylece güncellemeler uydu veya zayıf hücresel üzerinden tamamlanır.
Önce Pixel 8 Pro’da, ardından Pixel 9 Pro ve Pixel 9’da. Avrupa pazarı için bir Fairphone 6 derlemesi partner testlerindedir. Sıfırdan bir referans cihaz — açık güvenli element, çift uydu telsizi, çıkarılabilir batarya, isteğe bağlı Faraday astarı — uzun vadeli hedeftir.
Beta listeleri önce seçili gazeteciler, insan hakları savunucuları ve geliştiriciler için açılır. Tam egemen çekirdek zaten üretimde; kullanıcı tarafındaki uygulamalar ve uydu yığını şu anda cilalanıyor. Mobile World Congress 2027 kamuya açık tanıtımdır.
Gerçekten toplamıyoruz. Kayıt formu tarayıcınızdan 32 byte’lık rastgele bir jeton ve bir bölge grubu gönderir — başka hiçbir şey. E-posta yok, IP yok, IMEI yok, telefon numarası yok, konum yok. Gizlilik politikası, ham veri sızdığı an derlemeyi başarısız kılan otomatik bir testle işletim sistemi katmanında zorunlu tutulur.
LİSTEYE KATILIN
Lansman gününde sizi tanımak için tek ihtiyacımız, tarayıcınızın yerel olarak ürettiği tek seferlik rastgele bir jeton — artı bulunduğunuz geniş bölge. E-posta yok, IMEI yok, IP yok. Beta birimleri sevk edilmeden iki hafta önce haberdar edileceksiniz.
Lansman günü sizi tanıyabilmek için yalnızca iki şey istiyoruz: tarayıcınızın yerel olarak ürettiği rastgele tek kullanımlık bir jeton ve bulunduğunuz genel bölge. E-posta yok, IMEI yok, IP yok. Asla.
▸ Tarayıcınızda 32 baytlık rastgele jeton üretilir · gönderilen yük yalnızca jeton + bölgedir · cihazınızdan başka hiçbir veri çıkmaz