BurnerNet

HTTP-клиент с нулевым доверием и антифорензикой. Стирает секреты. Уничтожает следы. Реанимация в стелс-танке. 👻

BurnerNet — это антифорензический HTTP-клиент на C++20. Он предоставляет плавный, CPR-подобный API для приложений, которые не могут полностью доверять локальной машине, физически стирая секреты из ОЗУ и разрывая следы выполнения, чтобы скрыть вашу логику от сканеров и отладчиков.

Он предлагает знакомые, совместимые с хостом настройки по умолчанию для обычного HTTP и явный профиль Hardened для враждебных сред. Оба пути отдают предпочтение недолговечным клиентам; расширенное доверие остаётся на стороне приложения.

Ищете защиту полезных нагрузок, загруженных BurnerNet? Ознакомьтесь с RipStop Codec для дешифровки активов в памяти.

Принципы • Начало работы • Способы интеграции • Реалии безопасности

Краткий обзор

Зачем это использовать

Используйте BurnerNet, когда обычный HTTP-клиент слишком доверчив для вашего окружения.

Он помогает, когда вы хотите:

• сделать клиенты запросов недолговечными вместо единого глобального транспорта
• уменьшить зависимость от локального DNS и других настроек хоста по умолчанию
• получать токены, сертификаты и секреты проверки только по мере необходимости
• оставить логику проверки ответов в собственном коде приложения
• уменьшить количество открытых строковых констант и метаданных в укреплённых сборках

Для кого это

BurnerNet подходит для таких проектов, как:

• Windows-приложения на рабочем столе с запросами высокой ценности (аутентификация, лицензирование, обновления)
• встраиваемый или инжектированный код, выполняющийся в хосте, которому вы не до конца доверяете
• инструменты, которым нужны более строгие транспортные проверки без отказа от удобного C++ API

Стандартный стек против BurnerNet

Оборонительные результаты

• Архитектура памяти "Zero-Ghost": BurnerNet использует собственный префиксно-размерный очиститель для перехвата внутренних путей выделения памяти в libcurl и потоках OpenSSL. Чувствительные транспортные буферы стираются, когда покидают управляемый BurnerNet жизненный цикл. Эта гигиена проверена как на Windows, так и на Linux в рамках аудируемых конфигураций, описанных в документации.
• Затирание кадров стека: После каждого запроса библиотека активно очищает собственный стек потока (очистка по отметке верхнего уровня воды). Это предназначено для уничтожения эфемерных транспортных фрагментов до возврата управления вашему приложению.
• Динамическая куча: Сочетание одноразовых транспортов и выровненных заголовков метаданных создаёт высокую дисперсию адресного пространства, делая память процесса непредсказуемой и устойчивой к стабильному отображению указателей.
• Недолговечное состояние запроса: BurnerNet спроектирован вокруг одноразовых клиентов вместо общепроцессных синглтонов-транспортов.
• Меньше доверия к хосту: Поддержка DoH, закреплённых ключей и аудит транспорта помогают снизить зависимость от скомпрометированных локальных настроек.
• Меньшая открытость текстовых данных: Обратные вызовы поставщиков и утилиты безопасного стирания сокращают время жизни сертификатов, ключей, токенов и других чувствительных буферов.
• Проверка, принадлежащая приложению: Проверка ответов остаётся в вашем коде через WithResponseVerifier(...) вместо того, чтобы быть жёстко закодированной в общей библиотеке.
• Усложнение статического снятия отпечатков: Укреплённые сборки могут установить BURNERNET_DIAGNOSTIC_STRINGS=0, чтобы ErrorCodeToString(...) возвращала стабильные значения E<number> без встраивания символьных имён ошибок.

Подтверждённая скрытность

BurnerNet не просто заявляет о режиме укрепления с лёгким импортом; он также поставляется с примечаниями аудита для конкретных протестированных конфигураций. В аудите Windows x64 Release с BURNERNET_HARDEN_IMPORTS=ON:

• Затемнение IAT: В аудируемом бинарном файле не было обнаружено записей для libcurl.dll, ws2_32.dll, bcrypt.dll или crypt32.dll.
• Темнота памяти: Судебные сканы (Cheat Engine "All Strings") не смогли обнаружить чувствительные канальные URL или заголовки в куче или стеке процесса.
• Слепота отладчика: Интегрированные тесты подтверждают, что библиотека вызывает «Сдвиг идентичности». Лицо, принимающее решения (ваше приложение), и Транспортёр (BurnerNet) работают на разных идентификаторах потоков, уменьшая нисходящее отслеживание во время сеансов живой отладки.
• Шум против сигнала: Библиотека стремится к судебной гигиене в рамках своих полномочий по стиранию, признавая оставшиеся системные «тени» в ОС и среде выполнения.

Подробности аудита и методология:

• docs/BINARY_STEALTH_AUDIT.md

Начало работы

Самый быстрый путь:

• Добавьте BurnerNet в свою сборку через CMake или Visual Studio source-drop.
• Включите <burner/net.h>.
• Создайте стековый клиент, отправьте запрос, затем дайте ему выйти из области видимости.

Минимальный пример:

#include <iostream>

#include <burner/net.h>

int main() {
    burner::net::Client client;
    if (!client.IsReady()) {
        std::cerr << burner::net::ErrorCodeToString(client.InitError()) << '\n';
        return 1;
    }

    const auto response = client
        .Get("https://example.com")
        .WithHeader("Accept", "text/html")
        .WithTimeoutSeconds(10)
        .Send();

    if (!response.TransportOk()) {
        std::cerr << burner::net::ErrorCodeToString(response.transport_error) << '\n';
        return 1;
    }

    std::cout << "HTTP " << response.status_code << '\n';
    return 0;
}

Client использует стандартные настройки: системный CA, DNS и прокси с включённой проверкой однорангового узла и имени хоста через TLS. WithCasualDefaults() остаётся доступным как псевдоним совместимости со Standard.

Для критического с точки зрения безопасности трафика используйте профиль Hardened. Build() отклоняет отсутствующие элементы управления перед любым запросом:

auto secure = burner::net::ClientBuilder(burner::net::ClientProfile::Hardened)
    .WithMtlsProvider(ProvideMtlsCredentials)
    .WithSecurityPolicy(AppSecurityPolicy{})
    .WithDnsFallback(burner::net::DnsMode::Doh,
                     "https://resolver.example/dns-query",
                     "Primary DoH")
    .AllowSystemDns(true) // явный резерв, после DoH
    .WithResponseVerifier(VerifySignedResponse)
    .Build();

Hardened требует проверки однорангового узла и имени хоста, изоляции стека, маршрутизации через DoH в первую очередь, проверщика ответов приложения и точки доверия, принадлежащей приложению. Постоянные учётные данные WithMtls(...) отклоняются; используйте WithMtlsProvider(...).

Способы интеграции

1. Стандартный CMake

Используйте это, если ваш downstream-проект уже использует CMake и вы хотите самый чистый путь с управлением зависимостями.

Документация:

• docs/CMAKE_INTEGRATION.md
• examples/cmake-consumer/README.md

2. Visual Studio Source-Drop

Используйте это, если ваша среда ориентирована на MSBuild или вы хотите, чтобы BurnerNet компилировался непосредственно внутри вашего .vcxproj.

Документация:

• docs/VISUAL_STUDIO_INTEGRATION.md
• examples/vs-consumer/README.md

3. Укреплённые импорты среды выполнения

Используйте это, если вы хотите уменьшить очевидное воздействие зависимостей среды выполнения и готовы явно управлять загрузкой начальной загрузки.

Включите:

• BURNERNET_HARDEN_IMPORTS=1
• Использует путь KernelResolver BurnerNet в Windows для поддержки более лёгкого по импорту следа среды выполнения

Ссылки:

• docs/USAGE_BEST_PRACTICES.md
• docs/CMAKE_INTEGRATION.md
• docs/VISUAL_STUDIO_INTEGRATION.md

Поддержка Linux: BurnerNet обеспечивает полную судебную паритетность (стирание памяти и изоляцию стека) в Linux. См. docs/LINUX_USAGE.md для инструкций по сборке.

Примечания по использованию

Рекомендуемые настройки по умолчанию:

• рассматривать клиентов как одноразовые транспорты
• разделять трафик с высоким и низким доверием на разные клиенты
• использовать обратные вызовы поставщиков для материала mTLS, токенов-носителей и секретов проверки ответов
• оставлять бизнес-правила и точки доверия в вашем приложении

Примеры и документация

Примеры:

• examples/01_basic_usage.cpp
• examples/02_zero_trust_pipeline.cpp
• examples/03_custom_security_policy.cpp
• examples/04_bootstrap_runtime.cpp
• examples/05_mtls_usage.cpp
• examples/06_hmac_custom_verifier.cpp

Документация:

• PRINCIPLES.md
• docs/USAGE_BEST_PRACTICES.md
• docs/CMAKE_INTEGRATION.md
• docs/VISUAL_STUDIO_INTEGRATION.md
• docs/LINUX_USAGE.md

Требования

• C++20
• Windows x64/x86 или Linux (GCC 13+ / Clang 15+)
• libcurl 7.87.0+ и заголовки OpenSSL
• Руководство для Linux: См. docs/LINUX_USAGE.md

Реалии безопасности и защита "Белого ящика"

BurnerNet — это уровень укрепления, предназначенный для повышения стоимости атаки до профессионального уровня. Мы исходим из принципа, что скрытность должна быть архитектурной, а не просто поверхностной.

Может ли злоумышленник обойти BurnerNet, имея исходный код? Знание исходного кода BurnerNet само по себе не является мастер-ключом к каждому downstream-приложению. BurnerNet следует принципу Керкгоффса: библиотека спроектирована так, чтобы ваши специфичные для приложения точки доверия (секреты HMAC, закреплённые ключи, логика UI, политики) оставались в собственности приложения. Знание транспортного уровня не даёт автоматического универсального обхода вашего конкретного потока безопасности.

• Скрытность как задержка: Укрепление вынуждает злоумышленников покидать стандартные удобные инструменты и переходить к утомительному анализу на уровне инструкций.
• Данные как корень: Используйте Функциональную зависимость (Принцип 6), чтобы ваше приложение было буквально сломано без данных, предоставляемых сервером.
• Преимущество призрака: К тому времени, как злоумышленник найдёт вашу логику запроса, Изоляция стека и Стирание памяти уже уничтожат нужные им судебные доказательства.