Hardware-gebundene und Cloud-gesteuerte Binärausführung und Anti-Tamper-Umschlagversiegelung für Crystal.

Was ist Pyrite?

Pyrite stellt sicher, dass Ihr kompiliertes Crystal-Binary nur auf Ihrer autorisierten Infrastruktur ausgeführt wird. Wenn ein Angreifer das Binary extrahiert, leakt, stiehlt oder modifiziert, wird die Ausführung sofort angehalten, bevor Anwendungslogik oder Geheimnisse preisgegeben werden.

Kern-Sicherheitsgarantien

Hardware- und Cloud-Ausführungsbindung: Das Binary ist im Ruhezustand unvollständig. Kernbetriebskonfiguration und Schlüssel sind in einem Umschlag versiegelt, der nur durch den TPM 2.0-Chip des physischen Motherboards (systemd-creds) oder Google Cloud Run IAM / Cloud KMS entschlüsselt werden kann.
Echtzeit-Selbstintegrität (Anti-Tamper): Beim Start berechnet Pyrite den SHA-256-Digest von /proc/self/exe und vergleicht ihn mit dem autorisierten Hash, der aus dem Umschlag entschlüsselt wurde. Jede 1-Byte-Änderung stoppt den Prozess sofort.
Anti-Reverse-Engineering: Gestrippter nativer LLVM-Maschinencode (strip -s) enthält keine Symboltabellen, Reflexionsmetadaten oder Klartextkonfiguration. Dekompilierung liefert nur einen toten Entschlüsselungs-Wrapper.
Kein Laufzeit-Overhead: Das kryptografische Gate läuft einmal beim Start (~15–25ms) und fügt der laufenden Anfrageverarbeitung 0,00% Overhead hinzu. Keine externen Shard-Abhängigkeiten.

Schnellstart

1. Zu `shard.yml` hinzufügen

dependencies:
  pyrite:
    github: renich/pyrite
    version: ~> 0.2.0

2. Bootstrap im Anwendungscode

require "pyrite"
require "kemal"

# Define strongly-typed application configuration
struct AppConfig
  include JSON::Serializable

  getter database_url : String
  getter session_secret : String
  getter api_token : String
end

# 1-line verification & bootstrap:
config = Pyrite.bootstrap!(AppConfig)

puts "Pyrite verified binary integrity. Starting application..."

get "/" do
  "Secure service running on authorized hardware."
end

Kemal.run

3. Zero-Trust-Fail-Closed-Architektur

Pyrite erzwingt eine absolute Zero-Trust-, Fail-Closed-Richtlinie:

Binaries erfordern strikt einen autorisierten Hardware-TPM 2.0- oder Cloud-KMS-Anker, um ihren Konfigurationsumschlag zu entsiegeln.
Wenn sie außerhalb einer autorisierten Umgebung ausgeführt werden (z. B. auf der Workstation eines Angreifers ohne TPM oder Cloud-IAM-Rolle), bricht Pyrite sofort mit Pyrite::HardwareAuthError ab und beendet sich mit Code 1.
Geheimnisse und Geschäftslogik werden niemals außerhalb der designierten Hardware-/Cloud-Vertrauensgrenze im Speicher preisgegeben.

Build- & Versiegelungs-CLI (`bin/pyrite`)

Nach der Installation stellt Pyrite ein kompiliertes CLI-Tool bereit, um LLVM-Kompilierung, ELF-Symbol-Stripping, SHA-256-Digest-Hashing und Umschlagversiegelung zu automatisieren.

# Build & Seal for Google Cloud Run (KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=gcp \
    --kms-key="projects/my-p/locations/global/keyRings/my-r/cryptoKeys/app-key" \
    --config=config/production.json

# Build & Seal for Bare-Metal Fedora (TPM 2.0 / systemd-creds):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=baremetal \
    --pcr=0,7 \
    --config=config/production.json

# Build & Seal for AWS (ECS / Lambda / KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=aws \
    --kms-key="arn:aws:kms:us-east-1:123456789012:key/..." \
    --config=config/production.json

Unterstützte Vertrauensanker

Umgebung	Anbieter	Vertrauenswurzel	Schutz
Google Cloud Run	`Pyrite::Providers::GCPKMS`	Google Cloud IAM + Cloud KMS	BinAuthz + Instance Metadata OIDC
Fedora / Bare-Metal	`Pyrite::Providers::SystemdCreds`	Host-TPM 2.0 (PCR 0,7)	`systemd-creds` + Linux Kernel IMA
Bare-Metal Direct	`Pyrite::Providers::TPM2Direct`	`/dev/tpmrm0`-Chip	Direkte TPM2-PCR-Entsiegelung (`tpm2-tools`)
AWS (ECS / Lambda)	`Pyrite::Providers::AWSKMS`	IMDSv2 + AWS KMS	AWS IAM Task Role Decrypt

Dokumentation

Umfassende technische Dokumentation, Spezifikationen und Architekturentscheidungsdatensätze werden in reStructuredText unter docs/ gepflegt:

pyrite

Beliebteste