تنفيذ ثنائي مرتبط بالعتاد ومُقيَّد بالسحابة وختم غلاف مضاد للتلاعب لـ Crystal.

ما هو Pyrite؟

يضمن Pyrite أن ملفك الثنائي المُصرَّف بلغة Crystal لا يُنفَّذ إلا على بنيتك التحتية المصرَّح بها. إذا استخرج خصم الملف الثنائي أو سرَّبه أو سرقه أو عدَّله، يتوقف التنفيذ فورًا قبل كشف أي منطق تطبيقي أو أسرار.

ضمانات الأمان الأساسية

ربط التنفيذ بالعتاد والسحابة: الملف الثنائي ناقص في حالة السكون. تُختَم الإعدادات التشغيلية الأساسية والمفاتيح داخل غلاف لا يمكن فك تشفيره إلا بواسطة شريحة TPM 2.0 الخاصة باللوحة الأم الفعلية (systemd-creds) أو Google Cloud Run IAM / Cloud KMS.
التحقق الذاتي من السلامة في الوقت الفعلي (مضاد للتلاعب): عند الإقلاع، يحسب Pyrite ملخص SHA-256 للمسار /proc/self/exe ويقارنه بالتجزئة المصرَّح بها المفكوكة من الغلاف. أي تغيير بمقدار بايت واحد يوقف العملية فورًا.
مقاومة الهندسة العكسية: كود LLVM الأصلي المُجرَّد (strip -s) لا يحتوي على أي جداول رموز أو بيانات وصفية للانعكاس أو إعدادات نصية صريحة. لا يُنتج فك التصريف سوى غلاف فك تشفير ميت.
صفر حمل زمني تشغيلي: تعمل البوابة التشفيرية مرة واحدة أثناء بدء التشغيل (~15–25 مللي ثانية) وتضيف 0.00% حمل على معالجة الطلبات الجارية. صفر تبعيات خارجية.

البدء السريع

1. أضف إلى `shard.yml`

dependencies:
  pyrite:
    github: renich/pyrite
    version: ~> 0.2.0

2. التهيئة في كود التطبيق

require "pyrite"
require "kemal"

# Define strongly-typed application configuration
struct AppConfig
  include JSON::Serializable

  getter database_url : String
  getter session_secret : String
  getter api_token : String
end

# 1-line verification & bootstrap:
config = Pyrite.bootstrap!(AppConfig)

puts "Pyrite verified binary integrity. Starting application..."

get "/" do
  "Secure service running on authorized hardware."
end

Kemal.run

3. بنية انعدام الثقة القائمة على الفشل المُغلَق

يفرض Pyrite سياسة انعدام ثقة مطلقة وفشل مُغلَق:

تتطلب الملفات الثنائية بشكل صارم وجود TPM 2.0 مصرَّح به أو مرساة Cloud KMS لفك ختم غلاف إعداداتها.
إذا نُفِّذت خارج بيئة مصرَّح بها (مثلًا على محطة عمل مهاجم بدون TPM أو دور Cloud IAM)، يُجهض Pyrite فورًا مع Pyrite::HardwareAuthError ويخرج بالرمز 1.
لا تُكشف الأسرار ومنطق الأعمال أبدًا للذاكرة خارج حدود الثقة المخصصة للعتاد/السحابة.

أداة البناء والختم (`bin/pyrite`)

عند التثبيت، يوفر Pyrite أداة CLI مُصرَّفة لأتمتة تصريف LLVM، وتجريد رموز ELF، وتجزئة SHA-256، وختم الغلاف.

# Build & Seal for Google Cloud Run (KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=gcp \
    --kms-key="projects/my-p/locations/global/keyRings/my-r/cryptoKeys/app-key" \
    --config=config/production.json

# Build & Seal for Bare-Metal Fedora (TPM 2.0 / systemd-creds):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=baremetal \
    --pcr=0,7 \
    --config=config/production.json

# Build & Seal for AWS (ECS / Lambda / KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=aws \
    --kms-key="arn:aws:kms:us-east-1:123456789012:key/..." \
    --config=config/production.json

مراسي الثقة المدعومة

البيئة	المزوّد	جذر الثقة	الحماية
Google Cloud Run	`Pyrite::Providers::GCPKMS`	Google Cloud IAM + Cloud KMS	BinAuthz + Instance Metadata OIDC
Fedora / Bare-Metal	`Pyrite::Providers::SystemdCreds`	Host TPM 2.0 (PCR 0,7)	`systemd-creds` + Linux Kernel IMA
Bare-Metal Direct	`Pyrite::Providers::TPM2Direct`	`/dev/tpmrm0` chip	Direct TPM2 PCR unseal (`tpm2-tools`)
AWS (ECS / Lambda)	`Pyrite::Providers::AWSKMS`	IMDSv2 + AWS KMS	AWS IAM Task Role Decrypt

التوثيق

تُحفظ التوثيقات التقنية الشاملة والمواصفات وسجلات قرارات البنية في reStructuredText تحت docs/:

pyrite

الأكثر شعبية