Your Application              Citadel                         Database
       |                         |                               |
       |-- POST /encrypt ------->|                               |
       |                         |-- hybrid KEM (X25519+ML-KEM)  |
       |                         |-- derive AES-256 key (HKDF)   |
       |                         |-- encrypt with AES-256-GCM    |
       |<-- encrypted blob ------|                               |
       |                                                         |
       |-- store blob ------------------------------------------>|

citadel-envelope    Nucleo di crittografia ibrida (X25519 + ML-KEM-768 + AES-256-GCM)
citadel-keystore    Gestione del ciclo di vita delle chiavi, gerarchia a 4 livelli, politiche adattive alle minacce
citadel-api         Server HTTP, autenticazione tramite chiave API con ambiti, limitazione di velocità, dashboard in tempo reale

# Clona
git clone https://github.com/mrcord77/rust_citadel.git
cd rust_citadel

# Imposta la tua chiave API admin
echo -n "your-secret-key" | sha256sum | cut -d' ' -f1
# Copia l'hash

# Avvia
CITADEL_API_KEY_HASH=<incolla-hash> docker compose up -d

# Verifica
curl http://localhost:3000/health
# {"status":"ok","version":"0.2.0"}

cargo build --release -p citadel-api
CITADEL_API_KEY="your-secret-key" CITADEL_SEED_DEMO=true ./target/release/citadel-api

import requests

api = "http://localhost:3000"
headers = {"Authorization": "Bearer your-secret-key"}

# Crittografa
r = requests.post(f"{api}/api/keys/{dek_id}/encrypt", headers=headers, json={
    "plaintext": "sensitive data",
    "aad": "record-001",        # lega il ciphertext a questo record
    "context": "patient-records" # separazione di dominio
})
blob = r.json()

# Decrittografa
r = requests.post(f"{api}/api/decrypt", headers=headers, json={
    "blob": blob,
    "aad": "record-001",
    "context": "patient-records"
})
plaintext = r.json()["plaintext"]

# Stato
curl http://localhost:3000/api/status -H "Authorization: Bearer $KEY"

# Elenca chiavi
curl http://localhost:3000/api/keys -H "Authorization: Bearer $KEY"

# Crittografa
curl -X POST http://localhost:3000/api/keys/$DEK_ID/encrypt \
  -H "Authorization: Bearer $KEY" \
  -H "Content-Type: application/json" \
  -d '{"plaintext":"hello","aad":"test","context":"demo"}'

Root Key
  └── Domain Key (per ambiente / business unit)
        └── KEK — Key Encrypting Key (avvolge DEK)
              └── DEK — Data Encrypting Key (crittografa i dati dell'applicazione)

version[1] || suite_kem[1] || suite_aead[1] || flags[1] || kem_ct_len[2] ||
x25519_ephemeral_pk[32] || mlkem768_ct[1088] || nonce[12] || aead_ct[variable]

rust_citadel/
├── citadel-envelope/        # Libreria core di crittografia ibrida
│   ├── src/
│   │   ├── envelope.rs      # Operazioni di crittografia/decrittografia
│   │   ├── kem.rs           # KEM ibrido X25519 + ML-KEM-768
│   │   ├── kdf.rs           # Derivazione chiave HKDF-SHA256
│   │   ├── wire.rs          # Codifica/decodifica formato wire
│   │   ├── aead.rs          # Wrapper AES-256-GCM
│   │   ├── aad.rs           # Dati autenticati aggiuntivi
│   │   ├── error.rs         # Tipi di errore uniformi
│   │   └── sdk.rs           # API di alto livello
│   ├── tests/               # Test KAT + roundtrip
│   └── fuzz/                # Target fuzz
├── citadel-keystore/        # Gestione del ciclo di vita delle chiavi
│   └── src/
│       ├── keystore.rs      # CRUD chiavi + macchina a stati
│       ├── policy.rs        # Politiche dei periodi crittografici
│       ├── threat.rs        # Intelligence sulle minacce adattiva
│       ├── storage.rs       # Archiviazione chiavi su file
│       ├── audit.rs         # Registro audit con catena di integrità
│       └── types.rs         # Tipi e stati delle chiavi
├── citadel-api/             # Server HTTP
│   └── src/
│       ├── main.rs          # Route API, autenticazione, limitazione velocità
│       └── dashboard.html   # Dashboard di sicurezza in tempo reale
├── citadel_example.py       # Esempio di integrazione Python
├── Backup-Citadel.ps1       # Strumenti di backup/ripristino
├── docker-compose.yml       # Dispiegamento di sviluppo
├── docker-compose-production.yml  # Produzione con TLS
├── SPEC.md                  # Specifica del formato wire
├── THREAT_MODEL.md          # Obiettivi di sicurezza e modello dell'attaccante
├── COMPLIANCE_MATRIX.md     # Mappatura controlli NIST 800-57
└── CITADEL_OVERVIEW.md      # Panoramica commerciale