Execução de Binários Vinculada ao Hardware e Restrita à Nuvem e Selagem de Envelope Anti-Adulteração para Crystal.

O que é o Pyrite?

O Pyrite garante que o seu binário Crystal compilado só seja executado na sua infraestrutura autorizada. Se um adversário extrair, vazar, roubar ou modificar o binário, a execução é interrompida imediatamente antes que qualquer lógica de aplicação ou segredo seja exposto.

Garantias Fundamentais de Segurança

Vinculação de Execução a Hardware e Nuvem: O binário é incompleto em repouso. A configuração operacional central e as chaves são seladas dentro de um envelope que só pode ser descriptografado pelo chip TPM 2.0 da placa-mãe física (systemd-creds) ou pelo Google Cloud Run IAM / Cloud KMS.
Auto-Integridade em Tempo Real (Anti-Adulteração): No arranque, o Pyrite calcula o resumo SHA-256 de /proc/self/exe e compara-o com o hash autorizado descriptografado do envelope. Qualquer alteração de 1 byte interrompe o processo instantaneamente.
Anti-Engenharia Reversa: O código de máquina LLVM nativo removido de símbolos (strip -s) não contém tabelas de símbolos, metadados de reflexão ou configuração em texto simples. A descompilação produz apenas um invólucro de descriptografia morto.
Sobrecarga de Runtime Zero: A barreira criptográfica é executada uma vez durante o arranque (~15–25ms) e adiciona 0,00% de sobrecarga ao processamento contínuo de pedidos. Zero dependências externas de shards.

Início Rápido

1. Adicionar ao `shard.yml`

dependencies:
  pyrite:
    github: renich/pyrite
    version: ~> 0.2.0

2. Inicializar no Código da Aplicação

require "pyrite"
require "kemal"

# Define strongly-typed application configuration
struct AppConfig
  include JSON::Serializable

  getter database_url : String
  getter session_secret : String
  getter api_token : String
end

# 1-line verification & bootstrap:
config = Pyrite.bootstrap!(AppConfig)

puts "Pyrite verified binary integrity. Starting application..."

get "/" do
  "Secure service running on authorized hardware."
end

Kemal.run

3. Arquitetura Zero-Trust com Falha Fechada

O Pyrite impõe uma política absoluta de zero-trust com falha fechada:

Os binários exigem estritamente uma âncora autorizada de TPM 2.0 de hardware ou Cloud KMS para deselar o seu envelope de configuração.
Se executado fora de um ambiente autorizado (por exemplo, na estação de trabalho de um atacante sem o TPM ou a função Cloud IAM), o Pyrite aborta imediatamente com Pyrite::HardwareAuthError e sai com o código 1.
Segredos e lógica de negócio nunca são expostos à memória fora do limite de confiança designado de hardware/nuvem.

CLI de Compilação e Selagem (`bin/pyrite`)

Quando instalado, o Pyrite fornece uma ferramenta CLI compilada para automatizar a compilação LLVM, a remoção de símbolos ELF, o hashing de resumo SHA-256 e a selagem de envelope.

# Build & Seal for Google Cloud Run (KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=gcp \
    --kms-key="projects/my-p/locations/global/keyRings/my-r/cryptoKeys/app-key" \
    --config=config/production.json

# Build & Seal for Bare-Metal Fedora (TPM 2.0 / systemd-creds):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=baremetal \
    --pcr=0,7 \
    --config=config/production.json

# Build & Seal for AWS (ECS / Lambda / KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=aws \
    --kms-key="arn:aws:kms:us-east-1:123456789012:key/..." \
    --config=config/production.json

Âncoras de Confiança Suportadas

Ambiente	Fornecedor	Raiz de Confiança	Proteção
Google Cloud Run	`Pyrite::Providers::GCPKMS`	Google Cloud IAM + Cloud KMS	BinAuthz + Instance Metadata OIDC
Fedora / Bare-Metal	`Pyrite::Providers::SystemdCreds`	Host TPM 2.0 (PCR 0,7)	`systemd-creds` + Linux Kernel IMA
Bare-Metal Direct	`Pyrite::Providers::TPM2Direct`	`/dev/tpmrm0` chip	Direct TPM2 PCR unseal (`tpm2-tools`)
AWS (ECS / Lambda)	`Pyrite::Providers::AWSKMS`	IMDSv2 + AWS KMS	AWS IAM Task Role Decrypt

Documentação

Documentação técnica exaustiva, especificações e registos de decisões de arquitetura são mantidos em reStructuredText sob docs/:

pyrite

Mais Populares