BurnerNet

عميل HTTP صفر ثقة ومقاوم للطب الشرعي. يمسح الأسرار. يقطع الآثار. CPR في خزان التخفي. 👻

بورنرنت هو عميل HTTP مقاوم للطب الشرعي بلغة C++20. يوفر واجهة برمجة تطبيقات سلسة تشبه CPR للتطبيقات التي لا يمكنها الوثوق الكامل بالجهاز المحلي—يمسح الأسرار فيزيائيًا من الذاكرة ويقطع آثار التنفيذ لإخفاء منطقك عن الماسحات الضوئية والمصححات.

يقدم إعدادات افتراضية مألوفة ومتوافقة مع المضيف لـ HTTP العادي وملف تعريف مشدد (Hardened) صريح للبيئات المعادية. كلا المسارين يفضلان العملاء قصيري العمر؛ الثقة المتقدمة تظل مملوكة للتطبيق.

هل تتطلع إلى حماية الحمولات التي تم تنزيلها بواسطة BurnerNet؟ اطلع على RipStop Codec لفك تشويش الأصول في الذاكرة.

المبادئ • بدء الاستخدام • مسارات التكامل • واقع الأمان

في لمحة

لماذا تستخدمه

استخدم BurnerNet عندما يكون عميل HTTP العادي واثقًا جدًا لبيئتك.

يساعدك عندما تريد:

• الحفاظ على عملاء الطلبات قصيري العمر بدلاً من مشاركة نقل عالمي واحد
• تقليل الاعتماد على DNS المحلي والإعدادات الافتراضية الأخرى للمضيف
• جلب الرموز والشهادات وأسرار التحقق فقط عند الحاجة
• الاحتفاظ بمنطق التحقق من الاستجابة في كود التطبيق الخاص بك
• تقليل السلاسل النصية الواضحة والبيانات الوصفية في البناءات المشددة

لمن هو مخصص

BurnerNet يناسب مشاريع مثل:

• تطبيقات سطح المكتب Windows ذات المصادقة عالية القيمة، الترخيص، أو طلبات التحديث
• الكود المضمن أو المحقون الذي يعمل في مضيف لا تثق به تمامًا
• الأدوات التي تريد فحوصات نقل أكثر صرامة دون التخلي عن واجهة C++ سلسة

المكدس القياسي مقابل BurnerNet

النتائج الدفاعية

• بنية الذاكرة صفر شبح: يستخدم BurnerNet ماسح بحجم البادئة مخصص لخطف مسارات تخصيص الذاكرة الداخلية لـ libcurl وتدفقات OpenSSL. يتم مسح مخازن النقل الحساسة عند مغادرتها العمر المدار بواسطة BurnerNet. تم التحقق من هذه النظافة على كل من Windows و Linux ضمن التهيئات المدققة الموضحة في الوثائق.
• مسح إطارات المكدس: بعد كل طلب، تقوم المكتبة بتنظيف مكدس الخيط الخاص بها بشكل استباقي (تنظيف علامة الارتفاع الأعلى). يهدف هذا إلى تدمير أجزاء النقل الزائلة قبل عودة التحكم إلى تطبيقك.
• كومة هدف متحرك: يؤدي الجمع بين وسائل النقل القابلة للتخلص ورؤوس البيانات الوصفية المحاذية إلى تشتت عالي لمساحة العنوان، مما يجعل ذاكرة العملية غير متوقعة ومقاومة لتعيين المؤشرات المستقرة.
• حالة طلب قصيرة العمر: تم تصميم BurnerNet حول عملاء يمكن التخلص منهم بدلاً من وسائل نقل مفردة على مستوى العملية.
• ثقة أقل في المضيف: يساعد دعم DoH ودعم المفاتيح المثبتة وتدقيق النقل في تقليل الاعتماد على الإعدادات الافتراضية المحلية المخترقة.
• انكشاف أقل للنص العادي: تقلل عمليات استدعاء المزود وأدوات المسح الآمنة من عمر الشهادات والمفاتيح والرموز والمخازن الحساسة الأخرى.
• تحقق مملوك للتطبيق: يبقى التحقق من الاستجابة في الكود الخاص بك من خلال WithResponseVerifier(...) بدلاً من ترميزه ثابتًا في مكتبة مشتركة.
• بصمة ثابتة أكثر صعوبة: يمكن للبناءات المشددة ضبط BURNERNET_DIAGNOSTIC_STRINGS=0 بحيث يعيد ErrorCodeToString(...) قيم E<number> مستقرة دون تضمين أسماء أخطاء رمزية.
• خيارات نشر خفيفة الاستيراد: يمكن لـ BURNERNET_HARDEN_IMPORTS=1 حل التبعيات في وقت التشغيل ديناميكيًا بدلاً من الإعلان عنها مباشرة في جدول الاستيراد، باستخدام مسار الخاص بـ BurnerNet على Windows.

التخفي الموثوق

لا يدعي BurnerNet مجرد وضع مشدد خفيف الاستيراد؛ بل يأتي أيضًا مع ملاحظات تدقيق لتكوينات محددة تم اختبارها. في تدقيق Windows x64 Release مع BURNERNET_HARDEN_IMPORTS=ON:

• تعتم IAT: لم يتم ملاحظة أي إدخالات لـ libcurl.dll أو ws2_32.dll أو bcrypt.dll أو crypt32.dll في الثنائي المدقق.
• تعتم الذاكرة: فشلت عمليات المسح الشرعي (Cheat Engine "All Strings") في اكتشاف عناوين URL أو رؤوس حساسة من نوع canary في كومة العملية أو مكدسها.
• عمى المصحح: تتحقق الاختبارات المدمجة من أن المكتبة تؤدي إلى "تحول الهوية". يعمل صانع القرار (تطبيقك) والناقل (BurnerNet) على معرفات خيوط مميزة، مما يقلل من التتبع من الأعلى إلى الأسفل خلال جلسات التصحيح المباشرة.
• الضجيج إلى الإشارة: تهدف المكتبة إلى النظافة الشرعية ضمن سلطة المسح الخاصة بها، مع الاعتراف بـ "الظلال" المتبقية على مستوى النظام في بيئة OS ووقت التشغيل.

تفاصيل ومنهجية التدقيق:

• docs/BINARY_STEALTH_AUDIT.md

بدء الاستخدام

أسرع مسار:

• أضف BurnerNet إلى بنائك باستخدام CMake أو إسقاط المصدر في Visual Studio.
• قم بتضمين <burner/net.h>.
• أنشئ عميل مكدس، أرسل طلبًا، ثم اتركه يخرج من النطاق.

مثال بسيط:

#include <iostream>

#include <burner/net.h>

int main() {
    burner::net::Client client;
    if (!client.IsReady()) {
        std::cerr << burner::net::ErrorCodeToString(client.InitError()) << '\n';
        return 1;
    }

    const auto response = client
        .Get("https://example.com")
        .WithHeader("Accept", "text/html")
        .WithTimeoutSeconds(10)
        .Send();

    if (!response.TransportOk()) {
        std::cerr << burner::net::ErrorCodeToString(response.transport_error) << '\n';
        return 1;
    }

    std::cout << "HTTP " << response.status_code << '\n';
    return 0;
}

يستخدم Client الإعدادات الافتراضية القياسية: CA للنظام، DNS، والوكيل مع تمكين التحقق من النظير واسم المضيف لـ TLS. يظل WithCasualDefaults() متاحًا كاسم مستعار للتوافق القياسي.

لحركة المرور الحيوية أمنيًا، استخدم ملف التعريف المشدد. يرفض Build() عناصر التحكم المفقودة قبل أي طلب:

auto secure = burner::net::ClientBuilder(burner::net::ClientProfile::Hardened)
    .WithMtlsProvider(ProvideMtlsCredentials)
    .WithSecurityPolicy(AppSecurityPolicy{})
    .WithDnsFallback(burner::net::DnsMode::Doh,
                     "https://resolver.example/dns-query",
                     "Primary DoH")
    .AllowSystemDns(true) // explicit fallback, after DoH
    .WithResponseVerifier(VerifySignedResponse)
    .Build();

يتطلب المشدد التحقق من النظير واسم المضيف، عزل المكدس، توجيه DoH أولاً، مدقق استجابة للتطبيق، وتركيب ثقة مملوك للتطبيق. يتم رفض بيانات الاعتماد الثابتة WithMtls(...)؛ استخدم WithMtlsProvider(...).

مسارات التكامل

1. Standard CMake

استخدم هذا عندما يستخدم مشروعك النهائي بالفعل CMake وترغب في أنظف مسار مُدار بالتبعيات.

الوثائق:

• docs/CMAKE_INTEGRATION.md
• examples/cmake-consumer/README.md

2. Visual Studio Source-Drop

استخدم هذا عندما تكون بيئتك MSBuild أولاً أو ترغب في تجميع BurnerNet مباشرة داخل ملف .vcxproj الخاص بك.

الوثائق:

• docs/VISUAL_STUDIO_INTEGRATION.md
• examples/vs-consumer/README.md

3. Hardened Runtime Imports

استخدم هذا عندما تريد تقليل التعرض الواضح لتبعيات وقت التشغيل وتكون مستعدًا لإدارة تحميل التمهيد بشكل صريح.

تمكين:

• BURNERNET_HARDEN_IMPORTS=1
• يستخدم مسار KernelResolver الخاص بـ BurnerNet على Windows لدعم بصمة وقت تشغيل أخف استيرادًا

المرجع:

• docs/USAGE_BEST_PRACTICES.md
• docs/CMAKE_INTEGRATION.md
• docs/VISUAL_STUDIO_INTEGRATION.md

دعم Linux: يوفر BurnerNet تكافؤًا شرعيًا كاملاً (مسح الذاكرة وعزل المكدس) على Linux. راجع docs/LINUX_USAGE.md لتعليمات البناء.

ملاحظات الاستخدام

الإعدادات الافتراضية الموصى بها:

• تعامل مع العملاء كوسائل نقل يمكن التخلص منها
• افصل حركة المرور عالية الثقة ومنخفضة الثقة في عملاء مختلفين
• استخدم عمليات استدعاء المزود لمواد mTLS ورموز الحامل وأسرار التحقق من الاستجابة
• احتفظ بقواعد العمل ومراسي الثقة في تطبيقك

الأمثلة والوثائق

أمثلة:

• examples/01_basic_usage.cpp
• examples/02_zero_trust_pipeline.cpp
• examples/03_custom_security_policy.cpp
• examples/04_bootstrap_runtime.cpp
• examples/05_mtls_usage.cpp
• examples/06_hmac_custom_verifier.cpp

الوثائق:

• PRINCIPLES.md
• docs/USAGE_BEST_PRACTICES.md
• docs/CMAKE_INTEGRATION.md
• docs/VISUAL_STUDIO_INTEGRATION.md
• docs/LINUX_USAGE.md

المتطلبات

• C++20
• Windows x64/x86 أو Linux (GCC 13+ / Clang 15+)
• libcurl 7.87.0+ ورؤوس OpenSSL
• دليل Linux: راجع docs/LINUX_USAGE.md

واقع الأمان والدفاع بالصندوق الأبيض

BurnerNet هو طبقة تشديد مصممة لرفع تكلفة الهجوم إلى المستوى المهني. نعمل على مبدأ أن التخفي يجب أن يكون معماريًا، وليس سطحيًا فقط.

هل يمكن لمهاجم تجاوز BurnerNet إذا كان لديه الكود المصدري؟

معرفة الكود المصدري لـ BurnerNet ليست بحد ذاتها مفتاحًا رئيسيًا لكل تطبيق نهائي. يتبع BurnerNet مبدأ Kerckhoffs: تم تصميم المكتبة بحيث تظل مراسي الثقة الخاصة بتطبيقك (أسرار HMAC، المفاتيح المثبتة، منطق واجهة المستخدم، خطافات السياسة) مملوكة للتطبيق. معرفة طبقة النقل لا تؤدي تلقائيًا إلى تجاوز عالمي لتدفق الأمان الخاص بك.

• التخفي كتأخير: يجبر التشديد المهاجمين على الخروج من أدوات الراحة القياسية والدخول في تحليل ممل على مستوى التعليمات.
• البيانات كالجذر: استخدم الاعتماد الوظيفي (المبدأ 6) لضمان أن تطبيقك معطل حرفيًا بدون البيانات المقدمة من الخادم.
• ميزة الشبح: بحلول الوقت الذي يجد فيه المهاجم منطق طلبك، يكون عزل المكدس و مسح الذاكرة قد دمرا بالفعل الأدلة الشرعية التي يحتاجونها.