pyrite

تنفيذ ثنائي مربوط بالعتاد ومقيّد بالسحابة، وإغلاق مغلّف مقاوم للعبث للغة Crystal.

ما هو Pyrite؟

Pyrite يضمن أن ملفك الثنائي المُجمَّع بلغة Crystal لا يعمل إلا على بنيتك التحتية المصرَّح بها. إذا قام خصم باستخراج الملف الثنائي أو تسريبه أو سرقته أو تعديله، يتوقف التنفيذ فورًا قبل كشف أي منطق تطبيقي أو أسرار.

ضمانات الأمان الأساسية

1. ربط التنفيذ بالعتاد والسحابة: الملف الثنائي غير مكتمل عند التخزين. يتم إغلاق الإعدادات التشغيلية الأساسية والمفاتيح داخل مغلّف لا يمكن فك تشفيره إلا بواسطة شريحة TPM 2.0 الخاصة باللوحة الأم الفعلية (systemd-creds) أو Google Cloud Run IAM / Cloud KMS.
2. التحقق الذاتي من السلامة في الوقت الفعلي (مقاومة العبث): عند الإقلاع، يحسب Pyrite بصمة SHA-256 لـ /proc/self/exe ويقارنها بالبصمة المصرَّح بها التي تم فك تشفيرها من المغلّف. أي تغيير بمقدار بايت واحد يوقف العملية فورًا.
3. مقاومة الهندسة العكسية: كود الآلة الأصلي المُجرَّد من الرموز (strip -s) لا يحتوي على أي جداول رموز أو بيانات انعكاس أو إعدادات نصية واضحة. تفكيك الكود لا ينتج سوى غلاف فك تشفير ميت.
4. صفر حمل زمني في وقت التشغيل: تعمل البوابة التشفيرية مرة واحدة أثناء بدء التشغيل (~15–25 مللي ثانية) وتضيف 0.00% من الحمل الزائد على معالجة الطلبات المستمرة. بدون أي تبعيات خارجية (shards).

بدء سريع

1. الإضافة إلى shard.yml

dependencies:
  pyrite:
    github: renich/pyrite
    version: ~> 0.1.0

2. التهيئة في كود التطبيق

require "pyrite"
require "kemal"

# تعريف إعدادات التطبيق بنوع قوي
struct AppConfig
  include JSON::Serializable

  getter database_url : String
  getter session_secret : String
  getter api_token : String
end

# سطر واحد للتحقق والتهيئة:
config = Pyrite.bootstrap!(AppConfig)

puts "Pyrite verified binary integrity. Starting application..."

get "/" do
  "Secure service running on authorized hardware."
end

Kemal.run

3. وضع التطوير المحلي

أثناء التطوير أو اختبارات الوحدة (crystal spec)، لا تحتاج إلى بيانات اعتماد سحابية نشطة أو TPM فعلي. فقط أنشئ .pyrite.dev.json أو عيّن PYRITE_DEV=1:

{
  "database_url": "postgresql://postgres:pass@localhost:5432/dev",
  "session_secret": "insecure-dev-secret-key",
  "api_token": "dev-token"
}

سيقوم Pyrite بطباعة تحذير بصري واضح في الطرفية ويمرر إعداداتك المحلية.

واجهة سطر الأوامر للبناء والإغلاق (bin/pyrite)

عند التثبيت، يوفر Pyrite أداة CLI مُجمَّعة لأتمتة تجميع LLVM، وتجريد رموز ELF، وحساب بصمة SHA-256، وإغلاق المغلّف.

# Build & Seal for Google Cloud Run (KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=gcp \
    --kms-key="projects/my-p/locations/global/keyRings/my-r/cryptoKeys/app-key" \
    --config=config/production.json

# Build & Seal for Bare-Metal Fedora (TPM 2.0 / systemd-creds):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=baremetal \
    --pcr=0,7 \
    --config=config/production.json

مراسي الثقة المدعومة

التوثيق

يتم الحفاظ على التوثيق التقني الشامل والمواصفات وسجلات قرارات البنية بصيغة reStructuredText تحت docs/:

المساهمة ومدونة الشرف

يجب أن تلتزم جميع المساهمات بـ Universal Code of Honor وإرشادات المساهمة.

الترخيص

• البرمجيات: رخصة GNU العامة العامة الإصدار 3.0 أو الأحدث (LICENSE).
• التوثيق: رخصة GNU للتوثيق الحر الإصدار 1.3 أو الأحدث (LICENSE-DOCS).

حقوق النشر © 2026 Rénich Bon Ćirić <[email protected]>.

الدعم والتبرعات

إذا وجدت Pyrite مفيدًا وترغب في دعم تطويره المستمر، يرجى التفكير في التبرع: