pyrite

Hardware-gebundene & cloud-gesteuerte Binärausführung und Anti-Manipulations-Umschlagversiegelung für Crystal.

Was ist Pyrite?

Pyrite stellt sicher, dass Ihre kompilierte Crystal-Binärdatei nur auf Ihrer autorisierten Infrastruktur ausgeführt wird. Wenn ein Angreifer die Binärdatei extrahiert, leakt, stiehlt oder modifiziert, wird die Ausführung sofort gestoppt, bevor Anwendungslogik oder Geheimnisse offengelegt werden.

Kern-Sicherheitsgarantien

1. Hardware- & Cloud-Ausführungsbindung: Die Binärdatei ist im Ruhezustand unvollständig. Kernbetriebskonfiguration und Schlüssel sind in einem Umschlag versiegelt, der nur durch den TPM-2.0-Chip des physischen Motherboards (systemd-creds) oder Google Cloud Run IAM / Cloud KMS entschlüsselt werden kann.
2. Echtzeit-Selbstintegrität (Anti-Manipulation): Beim Start berechnet Pyrite den SHA-256-Digest von /proc/self/exe und vergleicht ihn mit dem autorisierten Hash, der aus dem Umschlag entschlüsselt wurde. Jede 1-Byte-Änderung stoppt den Prozess sofort.
3. Anti-Reverse-Engineering: Gestrippter nativer LLVM-Maschinencode (strip -s) enthält null Symboltabellen, Reflexionsmetadaten oder Klartextkonfiguration. Dekompilierung ergibt nur einen toten Entschlüsselungs-Wrapper.
4. Null Laufzeit-Overhead: Das kryptografische Tor läuft einmal beim Start (~15–25 ms) und fügt 0,00 % Overhead zur laufenden Anfrageverarbeitung hinzu. Null externe Shard-Abhängigkeiten.

Schnellstart

1. Zu shard.yml hinzufügen

dependencies:
  pyrite:
    github: renich/pyrite
    version: ~> 0.1.0

2. Bootstrap im Anwendungscode

require "pyrite"
require "kemal"

# Stark typisierte Anwendungskonfiguration definieren
struct AppConfig
  include JSON::Serializable

  getter database_url : String
  getter session_secret : String
  getter api_token : String
end

# 1-zeilige Verifizierung & Bootstrap:
config = Pyrite.bootstrap!(AppConfig)

puts "Pyrite hat die Binärintegrität verifiziert. Anwendung wird gestartet..."

get "/" do
  "Sicherer Dienst läuft auf autorisierter Hardware."
end

Kemal.run

3. Lokaler Entwicklungsmodus

Während der Entwicklung oder beim Unit-Testen (crystal spec) benötigen Sie keine aktiven Cloud-Anmeldedaten oder einen physischen TPM. Erstellen Sie einfach .pyrite.dev.json oder setzen Sie PYRITE_DEV=1:

{
  "database_url": "postgresql://postgres:pass@localhost:5432/dev",
  "session_secret": "insecure-dev-secret-key",
  "api_token": "dev-token"
}

Pyrite gibt eine klare visuelle Warnung im Terminal aus und leitet Ihre lokale Konfiguration durch.

Build- & Versiegelungs-CLI (bin/pyrite)

Bei der Installation stellt Pyrite ein kompiliertes CLI-Tool bereit, um LLVM-Kompilierung, ELF-Symbol-Stripping, SHA-256-Digest-Hashing und Umschlagversiegelung zu automatisieren.

# Build & Seal für Google Cloud Run (KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=gcp \
    --kms-key="projects/my-p/locations/global/keyRings/my-r/cryptoKeys/app-key" \
    --config=config/production.json

# Build & Seal für Bare-Metal Fedora (TPM 2.0 / systemd-creds):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=baremetal \
    --pcr=0,7 \
    --config=config/production.json

Unterstützte Vertrauensanker

Dokumentation

Umfassende technische Dokumentation, Spezifikationen und Architektur-Entscheidungsprotokolle werden in reStructuredText unter docs/ gepflegt:

Mitwirken & Ehrenkodex

Alle Beiträge müssen dem Universal Code of Honor und den Contributing Guidelines entsprechen.

Lizenz

• Software: GNU General Public License v3.0 oder später (LICENSE).
• Dokumentation: GNU Free Documentation License v1.3 oder später (LICENSE-DOCS).

Copyleft © 2026 Rénich Bon Ćirić <[email protected]>.

Unterstützung & Spenden

Wenn Sie Pyrite nützlich finden und die laufende Entwicklung unterstützen möchten, ziehen Sie bitte eine Spende in Betracht: