Your Application              Citadel                         Database
       |                         |                               |
       |-- POST /encrypt ------->|                               |
       |                         |-- hybrid KEM (X25519+ML-KEM)  |
       |                         |-- derive AES-256 key (HKDF)   |
       |                         |-- encrypt with AES-256-GCM    |
       |<-- encrypted blob ------|                               |
       |                                                         |
       |-- store blob ------------------------------------------>|

citadel-envelope    Hybridverschlüsselungskern (X25519 + ML-KEM-768 + AES-256-GCM)
citadel-keystore    Schlüssel-Lebenszyklusverwaltung, 4-stufige Hierarchie, bedrohungsadaptive Richtlinien
citadel-api         HTTP-Server, bereichsspezifische API-Schlüssel-Authentifizierung, Ratenbegrenzung, Echtzeit-Dashboard

# Klonen
git clone https://github.com/mrcord77/rust_citadel.git
cd rust_citadel

# Ihren Admin-API-Schlüssel festlegen
echo -n "your-secret-key" | sha256sum | cut -d' ' -f1
# Kopieren Sie den Hash

# Starten
CITADEL_API_KEY_HASH=<eingefügter-hash> docker compose up -d

# Prüfen
curl http://localhost:3000/health
# {"status":"ok","version":"0.2.0"}

cargo build --release -p citadel-api
CITADEL_API_KEY="your-secret-key" CITADEL_SEED_DEMO=true ./target/release/citadel-api

import requests

api = "http://localhost:3000"
headers = {"Authorization": "Bearer your-secret-key"}

# Verschlüsseln
r = requests.post(f"{api}/api/keys/{dek_id}/encrypt", headers=headers, json={
    "plaintext": "sensitive data",
    "aad": "record-001",        # bindet Chiffrattext an diesen Datensatz
    "context": "patient-records" # Bereichstrennung
})
blob = r.json()

# Entschlüsseln
r = requests.post(f"{api}/api/decrypt", headers=headers, json={
    "blob": blob,
    "aad": "record-001",
    "context": "patient-records"
})
plaintext = r.json()["plaintext"]

# Status
curl http://localhost:3000/api/status -H "Authorization: Bearer $KEY"

# Schlüssel auflisten
curl http://localhost:3000/api/keys -H "Authorization: Bearer $KEY"

# Verschlüsseln
curl -X POST http://localhost:3000/api/keys/$DEK_ID/encrypt \
  -H "Authorization: Bearer $KEY" \
  -H "Content-Type: application/json" \
  -d '{"plaintext":"hello","aad":"test","context":"demo"}'

Root Key
  └── Domain Key (pro Umgebung / Geschäftseinheit)
        └── KEK — Key Encrypting Key (umhüllt DEKs)
              └── DEK — Data Encrypting Key (verschlüsselt Anwendungsdaten)

version[1] || suite_kem[1] || suite_aead[1] || flags[1] || kem_ct_len[2] ||
x25519_ephemeral_pk[32] || mlkem768_ct[1088] || nonce[12] || aead_ct[variable]

rust_citadel/
├── citadel-envelope/        # Kernbibliothek für hybride Verschlüsselung
│   ├── src/
│   │   ├── envelope.rs      # Ver-/Entschlüsselungsvorgänge
│   │   ├── kem.rs           # Hybride KEM (X25519 + ML-KEM-768)
│   │   ├── kdf.rs           # HKDF-SHA256-Schlüsselableitung
│   │   ├── wire.rs          # Drahtformat kodieren/dekodieren
│   │   ├── aead.rs          # AES-256-GCM-Wrapper
│   │   ├── aad.rs           # Zusätzliche authentifizierte Daten
│   │   ├── error.rs         # Einheitliche Fehlertypen
│   │   └── sdk.rs           # Hochsprachliche API
│   ├── tests/               # KAT + Roundtrip-Tests
│   └── fuzz/                # Fuzz-Ziele
├── citadel-keystore/        # Schlüssel-Lebenszyklusverwaltung
│   └── src/
│       ├── keystore.rs      # Schlüssel-CRUD + Zustandsautomat
│       ├── policy.rs        # Richtlinien für Kryptoperioden
│       ├── threat.rs        # Adaptive Bedrohungsanalyse
│       ├── storage.rs       # Dateibasierte Schlüsselspeicherung
│       ├── audit.rs         # Integritätsverkettetes Prüfprotokoll
│       └── types.rs         # Schlüsseltypen und -zustände
├── citadel-api/             # HTTP-Server
│   └── src/
│       ├── main.rs          # API-Routen, Authentifizierung, Ratenbegrenzung
│       └── dashboard.html   # Echtzeit-Sicherheitsdashboard
├── citadel_example.py       # Python-Integrationsbeispiel
├── Backup-Citadel.ps1       # Sicherungs-/Wiederherstellungswerkzeug
├── docker-compose.yml       # Entwicklungsumgebung
├── docker-compose-production.yml  # Produktion mit TLS
├── SPEC.md                  # Drahtformat-Spezifikation
├── THREAT_MODEL.md          # Sicherheitsziele und Angreifermodell
├── COMPLIANCE_MATRIX.md     # NIST 800-57-Kontrollzuordnung
└── CITADEL_OVERVIEW.md      # Kommerzieller Überblick