pyrite

Execução de Binários Vinculada a Hardware e Gateada por Nuvem e Selagem de Envelope Anti-Adulteração para Crystal.

O que é o Pyrite?

O Pyrite garante que seu binário Crystal compilado execute somente na sua infraestrutura autorizada. Se um adversário extrair, vazar, roubar ou modificar o binário, a execução é interrompida imediatamente antes que qualquer lógica de aplicação ou segredos sejam expostos.

Garantias de Segurança Principais

1. Vinculação de Execução a Hardware e Nuvem: O binário está incompleto em repouso. A configuração operacional principal e as chaves são seladas dentro de um envelope que só pode ser descriptografado pelo chip TPM 2.0 da placa-mãe física (systemd-creds) ou pelo Google Cloud Run IAM / Cloud KMS.
2. Auto-Integridade em Tempo Real (Anti-Adulteração): Na inicialização, o Pyrite calcula o digest SHA-256 de /proc/self/exe e o compara com o hash autorizado descriptografado do envelope. Qualquer alteração de 1 byte interrompe o processo instantaneamente.
3. Anti-Engenharia Reversa: O código de máquina LLVM nativo removido (strip -s) contém zero tabelas de símbolos, metadados de reflexão ou configuração em texto puro. A descompilação produz apenas um wrapper de descriptografia morto.
4. Zero Sobrecarga em Tempo de Execução: A barreira criptográfica é executada uma vez durante a inicialização (~15–25ms) e adiciona 0,00% de sobrecarga ao tratamento contínuo de requisições. Zero dependências externas de shards.

Início Rápido

1. Adicionar ao shard.yml

dependencies:
  pyrite:
    github: renich/pyrite
    version: ~> 0.1.0

2. Inicializar no Código da Aplicação

require "pyrite"
require "kemal"

# Define strongly-typed application configuration
struct AppConfig
  include JSON::Serializable

  getter database_url : String
  getter session_secret : String
  getter api_token : String
end

# 1-line verification & bootstrap:
config = Pyrite.bootstrap!(AppConfig)

puts "Pyrite verified binary integrity. Starting application..."

get "/" do
  "Secure service running on authorized hardware."
end

Kemal.run

3. Modo de Desenvolvimento Local

Durante o desenvolvimento ou testes unitários (crystal spec), você não precisa de credenciais de nuvem ativas ou de um TPM físico. Basta criar .pyrite.dev.json ou definir PYRITE_DEV=1:

{
  "database_url": "postgresql://postgres:pass@localhost:5432/dev",
  "session_secret": "insecure-dev-secret-key",
  "api_token": "dev-token"
}

O Pyrite exibirá um aviso visual claro no terminal e repassará sua configuração local.

CLI de Build e Selagem (bin/pyrite)

Quando instalado, o Pyrite fornece uma ferramenta CLI compilada para automatizar a compilação LLVM, a remoção de símbolos ELF, o hash de digest SHA-256 e a selagem de envelope.

# Build & Seal for Google Cloud Run (KMS):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=gcp \
    --kms-key="projects/my-p/locations/global/keyRings/my-r/cryptoKeys/app-key" \
    --config=config/production.json

# Build & Seal for Bare-Metal Fedora (TPM 2.0 / systemd-creds):
bin/pyrite build \
    --input=src/main.cr \
    --output=bin/app \
    --target=baremetal \
    --pcr=0,7 \
    --config=config/production.json

Âncoras de Confiança Suportadas

Documentação

Documentação técnica exaustiva, especificações e registros de decisão de arquitetura são mantidos em reStructuredText sob docs/:

Contribuição e Código de Honra

Todas as contribuições devem aderir ao Universal Code of Honor e às Contributing Guidelines.

Licença

• Software: GNU General Public License v3.0 ou posterior (LICENSE).
• Documentação: GNU Free Documentation License v1.3 ou posterior (LICENSE-DOCS).

Copyleft © 2026 Rénich Bon Ćirić <[email protected]>.

Suporte e Doações

Se você achar o Pyrite útil e desejar apoiar seu desenvolvimento contínuo, considere doar: