pyrite

Crystal向けハードウェア拘束＆クラウドゲート型バイナリ実行と改ざん防止エンベロープ封印。

Pyriteとは？

Pyrite は、コンパイル済みのCrystalバイナリが承認されたインフラストラクチャ上でのみ実行されることを保証します。攻撃者がバイナリを抽出、漏洩、窃取、または改変した場合、アプリケーションロジックやシークレットが露出する前に、実行は即座に停止します。

中核となるセキュリティ保証

1. ハードウェア＆クラウド実行拘束: バイナリは静止状態では不完全です。中核となる運用設定とキーは、物理マザーボードのTPM 2.0チップ（systemd-creds）またはGoogle Cloud Run IAM / Cloud KMSによってのみ復号できるエンベロープ内に封印されています。
2. リアルタイム自己完全性（改ざん防止）: 起動時に、Pyriteは/proc/self/exeのSHA-256ダイジェストを計算し、エンベロープから復号された承認済みハッシュと比較します。1バイトでも変更されると、プロセスは即座に停止します。
3. リバースエンジニアリング対策: ストリップされたネイティブLLVMマシンコード（strip -s）には、シンボルテーブル、リフレクションメタデータ、平文設定が一切含まれません。逆コンパイルしても、死んだ復号ラッパーしか得られません。
4. ゼロランタイムオーバーヘッド: 暗号化ゲートは起動時に一度だけ実行され（約15〜25ms）、継続的なリクエスト処理へのオーバーヘッドは**0.00%**です。外部シャード依存関係はゼロです。

クイックスタート

1. shard.yml に追加

dependencies:
  pyrite:
    github: renich/pyrite
    version: ~> 0.1.0

2. アプリケーションコードでのブートストラップ

require "pyrite"
require "kemal"

# 型付きアプリケーション設定を定義
struct AppConfig
  include JSON::Serializable

  getter database_url : String
  getter session_secret : String
  getter api_token : String
end

# 1行での検証＆ブートストラップ:
config = Pyrite.bootstrap!(AppConfig)

puts "Pyrite verified binary integrity. Starting application..."

get "/" do
  "Secure service running on authorized hardware."
end

Kemal.run

3. ローカル開発モード

開発中またはユニットテスト（crystal spec）中は、アクティブなクラウド認証情報や物理TPMは不要です。.pyrite.dev.json を作成するか、PYRITE_DEV=1 を設定するだけです:

{
  "database_url": "postgresql://postgres:pass@localhost:5432/dev",
  "session_secret": "insecure-dev-secret-key",
  "api_token": "dev-token"
}

Pyriteはターミナルに明確な視覚的警告を表示し、ローカル設定をそのまま通過させます。

ビルド＆封印CLI（bin/pyrite）

インストールすると、PyriteはLLVMコンパイル、ELFシンボルストリップ、SHA-256ダイジェストハッシュ、エンベロープ封印を自動化するコンパイル済みCLIツールを提供します。

# Google Cloud Run（KMS）向けにビルド＆封印:
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=gcp \
    --kms-key="projects/my-p/locations/global/keyRings/my-r/cryptoKeys/app-key" \
    --config=config/production.json

# ベアメタルFedora（TPM 2.0 / systemd-creds）向けにビルド＆封印:
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=baremetal \
    --pcr=0,7 \
    --config=config/production.json

サポートされるトラストアンカー

ドキュメント

網羅的な技術ドキュメント、仕様、アーキテクチャ決定記録は、docs/ 配下にreStructuredTextで管理されています:

コントリビューション＆行動規範

すべてのコントリビューションは、Universal Code of Honor および Contributing Guidelines に準拠する必要があります。

ライセンス

• ソフトウェア: GNU General Public License v3.0以降（LICENSE）。
• ドキュメント: GNU Free Documentation License v1.3以降（LICENSE-DOCS）。

コピーレフト © 2026 Rénich Bon Ćirić <[email protected]>。

サポート＆寄付

Pyriteが役立つと感じ、継続的な開発を支援したい場合は、寄付をご検討ください: