Crystal के लिए हार्डवेयर-बाउंड और क्लाउड-गेटेड बाइनरी निष्पादन तथा एंटी-टैम्पर एनवेलप सीलिंग।

Pyrite क्या है?

Pyrite यह सुनिश्चित करता है कि आपकी कंपाइल की गई Crystal बाइनरी केवल आपके अधिकृत इन्फ्रास्ट्रक्चर पर ही निष्पादित हो। यदि कोई विरोधी बाइनरी को निकालता, लीक करता, चुराता या संशोधित करता है, तो किसी भी एप्लिकेशन लॉजिक या सीक्रेट्स के उजागर होने से पहले ही निष्पादन तुरंत रुक जाता है।

मुख्य सुरक्षा गारंटियाँ

हार्डवेयर और क्लाउड निष्पादन बाइंडिंग: बाइनरी आराम की स्थिति में अधूरी होती है। मुख्य परिचालन कॉन्फ़िगरेशन और कुंजियाँ एक एनवेलप के भीतर सील कर दी जाती हैं जिसे केवल भौतिक मदरबोर्ड की TPM 2.0 चिप (systemd-creds) या Google Cloud Run IAM / Cloud KMS द्वारा ही डिक्रिप्ट किया जा सकता है।
रीयल-टाइम स्व-अखंडता (एंटी-टैम्पर): बूट के समय, Pyrite /proc/self/exe का SHA-256 डाइजेस्ट गणना करता है और उसकी तुलना एनवेलप से डिक्रिप्ट किए गए अधिकृत हैश से करता है। 1-बाइट का कोई भी परिवर्तन प्रक्रिया को तुरंत रोक देता है।
एंटी-रिवर्स इंजीनियरिंग: स्ट्रिप किए गए नेटिव LLVM मशीन कोड (strip -s) में शून्य सिंबल टेबल, रिफ्लेक्शन मेटाडेटा या प्लेनटेक्स्ट कॉन्फ़िगरेशन होता है। डीकंपाइलेशन से केवल एक मृत डिक्रिप्शन रैपर प्राप्त होता है।
शून्य रनटाइम ओवरहेड: क्रिप्टोग्राफिक गेट स्टार्टअप के दौरान एक बार चलता है (~15–25ms) और चल रहे अनुरोध हैंडलिंग में 0.00% ओवरहेड जोड़ता है। शून्य बाहरी शार्ड निर्भरताएँ।

क्विकस्टार्ट

1. `shard.yml` में जोड़ें

dependencies:
  pyrite:
    github: renich/pyrite
    version: ~> 0.2.0

2. एप्लिकेशन कोड में बूटस्ट्रैप करें

require "pyrite"
require "kemal"

# Define strongly-typed application configuration
struct AppConfig
  include JSON::Serializable

  getter database_url : String
  getter session_secret : String
  getter api_token : String
end

# 1-line verification & bootstrap:
config = Pyrite.bootstrap!(AppConfig)

puts "Pyrite verified binary integrity. Starting application..."

get "/" do
  "Secure service running on authorized hardware."
end

Kemal.run

3. ज़ीरो-ट्रस्ट फेल-क्लोज़्ड आर्किटेक्चर

Pyrite एक पूर्ण ज़ीरो-ट्रस्ट, फेल-क्लोज़्ड नीति लागू करता है:

बाइनरी को अपने कॉन्फ़िगरेशन एनवेलप को अनसील करने के लिए अनिवार्य रूप से एक अधिकृत हार्डवेयर TPM 2.0 या Cloud KMS एंकर की आवश्यकता होती है।
यदि इसे किसी अधिकृत वातावरण के बाहर निष्पादित किया जाता है (उदाहरण के लिए, TPM या Cloud IAM भूमिका के बिना किसी हमलावर के वर्कस्टेशन पर), तो Pyrite तुरंत Pyrite::HardwareAuthError के साथ निष्पादन रोक देता है और कोड 1 के साथ बाहर निकल जाता है।
सीक्रेट्स और बिज़नेस लॉजिक निर्दिष्ट हार्डवेयर/क्लाउड ट्रस्ट सीमा के बाहर कभी भी मेमोरी में उजागर नहीं होते।

बिल्ड और सीलिंग CLI (`bin/pyrite`)

इंस्टॉल होने पर, Pyrite LLVM कंपाइलेशन, ELF सिंबल स्ट्रिपिंग, SHA-256 डाइजेस्ट हैशिंग और एनवेलप सीलिंग को स्वचालित करने के लिए एक कंपाइल किया गया CLI टूल प्रदान करता है।

# Build & Seal for Google Cloud Run (KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=gcp \
    --kms-key="projects/my-p/locations/global/keyRings/my-r/cryptoKeys/app-key" \
    --config=config/production.json

# Build & Seal for Bare-Metal Fedora (TPM 2.0 / systemd-creds):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=baremetal \
    --pcr=0,7 \
    --config=config/production.json

# Build & Seal for AWS (ECS / Lambda / KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=aws \
    --kms-key="arn:aws:kms:us-east-1:123456789012:key/..." \
    --config=config/production.json

समर्थित ट्रस्ट एंकर

वातावरण	प्रदाता	ट्रस्ट का मूल	सुरक्षा
Google Cloud Run	`Pyrite::Providers::GCPKMS`	Google Cloud IAM + Cloud KMS	BinAuthz + Instance Metadata OIDC
Fedora / बेयर-मेटल	`Pyrite::Providers::SystemdCreds`	होस्ट TPM 2.0 (PCR 0,7)	`systemd-creds` + Linux Kernel IMA
बेयर-मेटल डायरेक्ट	`Pyrite::Providers::TPM2Direct`	`/dev/tpmrm0` चिप	डायरेक्ट TPM2 PCR अनसील (`tpm2-tools`)
AWS (ECS / Lambda)	`Pyrite::Providers::AWSKMS`	IMDSv2 + AWS KMS	AWS IAM टास्क रोल डिक्रिप्ट

दस्तावेज़ीकरण

विस्तृत तकनीकी दस्तावेज़ीकरण, विशिष्टताएँ और आर्किटेक्चर निर्णय रिकॉर्ड docs/ के अंतर्गत reStructuredText में अनुरक्षित हैं:

pyrite

सबसे लोकप्रिय