pyrite

Esecuzione binaria vincolata all'hardware e al cloud, con sigillatura anti-manomissione dell'envelope per Crystal.

Cos'è Pyrite?

Pyrite garantisce che il tuo binario Crystal compilato venga eseguito esclusivamente sulla tua infrastruttura autorizzata. Se un avversario estrae, divulga, ruba o modifica il binario, l'esecuzione si interrompe immediatamente prima che qualsiasi logica applicativa o segreto venga esposto.

Garanzie di Sicurezza Fondamentali

1. Vincolo di Esecuzione Hardware e Cloud: Il binario è incompleto a riposo. La configurazione operativa principale e le chiavi sono sigillate all'interno di un envelope che può essere decriptato solo dal chip TPM 2.0 della scheda madre fisica (systemd-creds) o da Google Cloud Run IAM / Cloud KMS.
2. Auto-Integrità in Tempo Reale (Anti-Manomissione): All'avvio, Pyrite calcola il digest SHA-256 di /proc/self/exe e lo confronta con l'hash autorizzato decriptato dall'envelope. Qualsiasi alterazione di 1 byte interrompe il processo istantaneamente.
3. Anti-Retroingegneria: Il codice macchina LLVM nativo strippato (strip -s) contiene zero tabelle dei simboli, metadati di reflection o configurazione in chiaro. La decompilazione produce solo un wrapper di decriptazione inerte.
4. Zero Overhead a Runtime: Il gate crittografico viene eseguito una sola volta durante l'avvio (~15–25ms) e aggiunge 0.00% di overhead alla gestione delle richieste in corso. Zero dipendenze da shard esterni.

Avvio Rapido

1. Aggiungi a shard.yml

dependencies:
  pyrite:
    github: renich/pyrite
    version: ~> 0.1.0

2. Bootstrap nel Codice dell'Applicazione

require "pyrite"
require "kemal"

# Definisci la configurazione dell'applicazione fortemente tipizzata
struct AppConfig
  include JSON::Serializable

  getter database_url : String
  getter session_secret : String
  getter api_token : String
end

# Verifica e bootstrap in 1 riga:
config = Pyrite.bootstrap!(AppConfig)

puts "Pyrite ha verificato l'integrità del binario. Avvio dell'applicazione..."

get "/" do
  "Servizio sicuro in esecuzione su hardware autorizzato."
end

Kemal.run

3. Modalità di Sviluppo Locale

Durante lo sviluppo o i test unitari (crystal spec), non hai bisogno di credenziali cloud attive o di un TPM fisico. Crea semplicemente .pyrite.dev.json o imposta PYRITE_DEV=1:

{
  "database_url": "postgresql://postgres:pass@localhost:5432/dev",
  "session_secret": "insecure-dev-secret-key",
  "api_token": "dev-token"
}

Pyrite stamperà un chiaro avviso visivo nel terminale e passerà la tua configurazione locale.

CLI di Build e Sigillatura (bin/pyrite)

Una volta installato, Pyrite fornisce uno strumento CLI compilato per automatizzare la compilazione LLVM, lo stripping dei simboli ELF, l'hashing del digest SHA-256 e la sigillatura dell'envelope.

# Build e sigillatura per Google Cloud Run (KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=gcp \
    --kms-key="projects/my-p/locations/global/keyRings/my-r/cryptoKeys/app-key" \
    --config=config/production.json

# Build e sigillatura per Fedora Bare-Metal (TPM 2.0 / systemd-creds):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=baremetal \
    --pcr=0,7 \
    --config=config/production.json

Ancora di Fiducia Supportate

Documentazione

Documentazione tecnica esaustiva, specifiche e record di decisione architetturale sono mantenuti in reStructuredText sotto docs/:

Contributi e Codice d'Onore

Tutti i contributi devono aderire al Codice d'Onore Universale e alle Linee Guida per i Contributi.

Licenza

• Software: GNU General Public License v3.0 o successiva (LICENSE).
• Documentazione: GNU Free Documentation License v1.3 o successiva (LICENSE-DOCS).

Copyleft © 2026 Rénich Bon Ćirić <[email protected]>.

Supporto e Donazioni

Se trovi Pyrite utile e desideri sostenere il suo sviluppo continuo, considera di fare una donazione: