pyrite

Crystal을 위한 하드웨어 바인딩 및 클라우드 게이트 바이너리 실행과 변조 방지 봉투(Envelope) 실링.

Pyrite란 무엇인가?

Pyrite는 컴파일된 Crystal 바이너리가 승인된 인프라에서만 실행되도록 보장합니다. 공격자가 바이너리를 추출, 유출, 탈취 또는 변조하더라도 애플리케이션 로직이나 비밀이 노출되기 전에 실행이 즉시 중단됩니다.

핵심 보안 보장

1. 하드웨어 및 클라우드 실행 바인딩: 바이너리는 휴지 상태에서 불완전합니다. 핵심 운영 구성과 키는 물리적 마더보드의 TPM 2.0 칩(systemd-creds) 또는 Google Cloud Run IAM / Cloud KMS만 복호화할 수 있는 봉투(Envelope) 내부에 봉인됩니다.
2. 실시간 자체 무결성(변조 방지): 부팅 시 Pyrite는 /proc/self/exe의 SHA-256 다이제스트를 계산하여 봉투에서 복호화된 승인된 해시와 비교합니다. 1바이트만 변경되어도 프로세스가 즉시 중단됩니다.
3. 리버스 엔지니어링 방지: 스트립된 네이티브 LLVM 기계 코드(strip -s)에는 심볼 테이블, 리플렉션 메타데이터 또는 평문 구성이 전혀 포함되지 않습니다. 역컴파일하면 죽은 복호화 래퍼만 생성됩니다.
4. 제로 런타임 오버헤드: 암호화 게이트는 시작 시 한 번만 실행되며(약 15~25ms) 지속적인 요청 처리에 0.00% 오버헤드를 추가합니다. 외부 샤드 의존성이 없습니다.

빠른 시작

1. shard.yml에 추가

dependencies:
  pyrite:
    github: renich/pyrite
    version: ~> 0.1.0

2. 애플리케이션 코드에서 부트스트랩

require "pyrite"
require "kemal"

# 강력한 타입의 애플리케이션 구성 정의
struct AppConfig
  include JSON::Serializable

  getter database_url : String
  getter session_secret : String
  getter api_token : String
end

# 1줄 검증 및 부트스트랩:
config = Pyrite.bootstrap!(AppConfig)

puts "Pyrite verified binary integrity. Starting application..."

get "/" do
  "Secure service running on authorized hardware."
end

Kemal.run

3. 로컬 개발 모드

개발 중이거나 단위 테스트(crystal spec) 중에는 활성 클라우드 자격 증명이나 물리적 TPM이 필요하지 않습니다. .pyrite.dev.json을 생성하거나 PYRITE_DEV=1을 설정하기만 하면 됩니다:

{
  "database_url": "postgresql://postgres:pass@localhost:5432/dev",
  "session_secret": "insecure-dev-secret-key",
  "api_token": "dev-token"
}

Pyrite는 터미널에 명확한 시각적 경고를 출력하고 로컬 구성을 통과시킵니다.

빌드 및 실링 CLI (bin/pyrite)

설치 시 Pyrite는 LLVM 컴파일, ELF 심볼 스트리핑, SHA-256 다이제스트 해싱 및 봉투 실링을 자동화하는 컴파일된 CLI 도구를 제공합니다.

# Google Cloud Run용 빌드 및 실링 (KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=gcp \
    --kms-key="projects/my-p/locations/global/keyRings/my-r/cryptoKeys/app-key" \
    --config=config/production.json

# 베어메탈 Fedora용 빌드 및 실링 (TPM 2.0 / systemd-creds):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=baremetal \
    --pcr=0,7 \
    --config=config/production.json

지원되는 신뢰 앵커

문서

포괄적인 기술 문서, 사양 및 아키텍처 결정 기록은 docs/ 아래에 reStructuredText로 유지 관리됩니다:

기여 및 행동 강령

모든 기여는 보편적 행동 강령 및 기여 지침을 준수해야 합니다.

라이선스

• 소프트웨어: GNU 일반 공중 사용 허가서 v3.0 이상 (LICENSE).
• 문서: GNU 자유 문서 사용 허가서 v1.3 이상 (LICENSE-DOCS).

카피레프트 © 2026 Rénich Bon Ćirić <[email protected]>.

지원 및 기부

Pyrite가 유용하다고 생각하고 지속적인 개발을 지원하고 싶다면 기부를 고려해 주세요: