Legion ZK Auth 🛡️

مصادقة حقيقية بمعرفة صفرية مع توقيعات حلقية للأجهزة المرتبطة بالعتاد

🎯 ما هو Legion؟

Legion هو نظام مصادقة بمعرفة صفرية يثبت أنك مُصرَّح لك دون الكشف عن هويتك. تثبت شيئًا بناءً على بيانات عامة دون ربط إجرائك الحالي بعنوانك العام.

الميزات الرئيسية

• ✅ معرفة صفرية حقيقية: الخادم لا يعرف هويتك أبدًا (1 من 1M مستخدم)
• ✅ إخفاء هوية الجهاز: مرتبط بالعتاد مع توقيعات حلقية (1 من 1K جهاز)
• ✅ بدون إعداد موثوق: Halo2 PLONK (إعداد شفاف)
• ✅ أمان العتاد: ربط WebAuthn TPM/Secure Enclave
• ✅ حماية من إعادة التشغيل: Nullifiers + طوابع زمنية
• ✅ أمان الجلسة: وسوم قابلية الربط تمنع السرقة
• ✅ تحديد المعدل: 5 محاولات/ساعة (أخطاء عامة تمنع التعداد)
• ✅ إبطال الجهاز: حظر الأجهزة المسروقة فورًا
• ✅ يعمل: Docker، systemd، المراقبة مضمنة

🔒 ضمانات الأمان (v1.1.0)

🚀 البدء السريع (أمر واحد!)

المتطلبات الأساسية

• Docker (يتضمن Docker Compose)

التثبيت والتشغيل

# Clone and run
git clone https://github.com/deadends/legion.git
cd legion

# Linux/macOS
chmod +x install.sh && ./install.sh

# Windows
install.bat

هذا كل شيء! افتح http://localhost في متصفحك.

ما الذي يتم تثبيته

• ✅ Redis (تخزين الجلسات)
• ✅ Legion Server (مدقق إثبات ZK)
• ✅ الواجهة الأمامية (عميل WASM)
• ✅ Nginx (وكيل عكسي)

الأداء: التسجيل ~10 ثوانٍ، المصادقة ~4 دقائق (توليد إثبات k=16)

الإعداد اليدوي (بدون Docker)

# 1. Install Redis
# macOS: brew install redis && redis-server
# Ubuntu: sudo apt install redis && redis-server
# Windows: https://redis.io/docs/install/install-redis/install-redis-on-windows/

# 2. Run server (terminal 1)
cd legion-server
cargo run --release --features redis

# 3. Build frontend (terminal 2)
cd wasm-client
wasm-pack build --target web --release
python3 -m http.server 8000

# 4. Open http://localhost:8000

لنشر الإنتاج، راجع DEPLOYMENT.md

📊 الأداء

🏗️ البنية المعمارية

📖 للحصول على تدفق المصادقة التفصيلي خطوة بخطوة مع التفاصيل التشفيرية، راجع ARCHITECTURE_FLOW.md

مكونات النظام

┌──────────────────────────────────────────────────────────────────────────┐
│                            CLIENT (Browser)                              │
├──────────────────────────────────────────────────────────────────────────┤
│  ┌────────────────┐  ┌─────────────────┐  ┌──────────────────────────┐   │
│  │  UI Layer      │  │  WASM Module    │  │  Hardware Security       │   │
│  │  (Vanilla JS)  │  │  (Rust→WASM)    │  │  (WebAuthn Level 2)      │   │
│  ├────────────────┤  ├─────────────────┤  ├──────────────────────────┤   │
│  │ • Registration │  │ • Blake3 Hash   │  │ • TPM 2.0                │   │
│  │ • Login Form   │  │ • Argon2id KDF  │  │ • Secure Enclave         │   │
│  │ • Session UI   │  │ • Halo2 Prover  │  │ • FIDO2 Authenticator    │   │
│  │ • Error Handle │  │ • Merkle Proof  │  │ • Device Private Key     │   │
│  └────────────────┘  └─────────────────┘  └──────────────────────────┘   │
└────────────────────────────────┬─────────────────────────────────────────┘
                                 │ HTTPS/TLS 1.3
                                 │ (Encrypted Channel)
                                 ▼
┌──────────────────────────────────────────────────────────────────────────┐
│                         REVERSE PROXY (Nginx)                            │
├──────────────────────────────────────────────────────────────────────────┤
│  • TLS Termination          • Rate Limiting (100 req/min)                │
│  • Load Balancing           • Request Logging                            │
│  • Static File Serving      • Security Headers (CSP, HSTS)               │
└────────────────────────────────┬─────────────────────────────────────────┘
                                 │ HTTP (Internal Network)
                                 ▼
┌──────────────────────────────────────────────────────────────────────────┐
│                    LEGION SERVER (Rust/Axum)                             │
├──────────────────────────────────────────────────────────────────────────┤
│  ┌─────────────────────────────────────────────────────────────────┐     │
│  │                      API Layer (Axum)                           │     │
│  ├─────────────────────────────────────────────────────────────────┤     │
│  │ POST /register        │ POST /auth/challenge │ POST /auth/verify│     │
│  │ POST /auth/session    │ GET  /health         │ POST /logout     │     │
│  └─────────────────────────────────────────────────────────────────┘     │
│                                   │                                      │
│  ┌─────────────────────────────────────────────────────────────────┐     │
│  │                   Business Logic Layer                          │     │
│  ├─────────────────────────────────────────────────────────────────┤     │
│  │ • Credential Manager    │ • Challenge Generator (32-byte random)│     │
│  │ • Merkle Tree Builder   │ • Nullifier Tracker (replay protection)│    │
│  │ • ZK Proof Verifier     │ • Session Manager (linkability tags)  │     │
│  │ • Device Tree Manager   │ • Timestamp Validator (±5min window)  │     │
│  └─────────────────────────────────────────────────────────────────┘     │
│                                   │                                      │
│  ┌─────────────────────────────────────────────────────────────────┐     │
│  │                   Cryptographic Layer                           │     │
│  ├─────────────────────────────────────────────────────────────────┤     │
│  │ • Halo2 Verifier (PLONK) │ • Poseidon Hash (ZK-friendly)        │     │
│  │ • Blake3 (credential hash)│ • Argon2id (password KDF)           │     │
│  │ • Merkle Tree (2^20 users)│ • Device Tree (2^10 devices/user)   │     │
│  └─────────────────────────────────────────────────────────────────┘     │
└────────────────────────┬──────────────────────┬──────────────────────────┘
                         │                      │
                         ▼                      ▼
        ┌────────────────────────┐  ┌───────────────────────────┐
        │   Redis (In-Memory)    │  │  RocksDB (Persistent)     │
        ├────────────────────────┤  ├───────────────────────────┤
        │ • Session Tokens       │  │ • User Credentials        │
        │ • Linkability Tags     │  │ • Merkle Tree Nodes       │
        │ • Active Challenges    │  │ • Device Trees            │
        │ • Nullifier Cache      │  │ • Nullifier History       │
        │ TTL: 1 hour            │  │ Persistent Storage        │
        └────────────────────────┘  └───────────────────────────┘

تدفق المصادقة (مبسّط)