Encrypted Artifact Runtime · Core 4.x
Verschlüsselte PHP-Artefakte. Kontrolliert in WordPress geladen.
VGT OS ist eine experimentelle Open-Source-Laufzeit, die verschlüsselte PHP-Artefakte über einen eigenen Vault- und Stream-Layer in eine WordPress-Umgebung einbindet. Die Architektur kombiniert MU-Boot, PSR-4-Autoloading, Bridge-Abstraktion, AES-256-GCM, HKDF-SHA256, AAD-Bindung und ein memory-first Ausführungsmodell ohne geplante Klartext-Tempdateien.
Experimental-R&D-Status
Das öffentliche Repository bezeichnet VGT OS ausdrücklich als Proof of Concept und nicht als zertifiziertes oder uneingeschränkt produktionsreifes Produkt. Vor realem Einsatz sind Codeaudit, Lasttests, Wiederherstellungstest, PHP-/WordPress-Kompatibilitätsprüfung und eine eigene rechtliche Bewertung erforderlich.
Architecture reference
Unified Vault Bridge im aktuellen VGT-OS-Design.
Das Systembild zeigt die Trennung zwischen offenem Runtime-Kern, Vault, Stream-Layer, WordPress-Bridge und dem verschlüsselten Artefakt.
Runtime architecture
Sechs kontrollierte Ebenen vom Boot bis zum Artefakt.
Der zentrale Architekturwert ist nicht „Verschlüsselung allein“, sondern die Trennung von Host-Integration, Schlüsselableitung, Dateizugriff und Artefaktausführung.
Offener Runtime-Kern. Geschütztes Artefakt.
WordPress-spezifische Interaktion wird über Contracts, Adapter und Provider gekapselt. Der Vault verwaltet Ciphertext und Schlüsselkontext. Der Stream-Layer liefert entschlüsselten Inhalt an den Interpreter, ohne eine geplante Klartextdatei anzulegen.
Cryptographic Kernel
Authenticated Encryption schützt Vertraulichkeit und Integrität des gespeicherten Artefakts. AAD bindet den Ciphertext an seinen Kontext.
- AES-256-GCM
- HKDF-SHA256
- Context Binding via AAD
- Authentifizierungsfehler führen zum Abbruch
Virtual File Layer
Ein eigener PHP Stream Wrapper stellt eine virtuelle
vgt://-Adresse bereit und kontrolliert den Übergang
vom Ciphertext zum Interpreter.
- keine geplante Klartext-Tempdatei
- Pfadnormalisierung und Root-Grenze
- kontrollierte Artefaktauflösung
- prozessgebundene Inhaltsübergabe
Runtime Hardening
Der dokumentierte Stack ergänzt Kryptografie um Input-Hygiene, Capability-Prüfungen, CSRF-Schutz, Boot-Guards und Pfadgrenzen.
- rekursive Eingabevalidierung
- Control-Character-Filter
- Nonce- und Capability-Checks
- idempotenter Runtime-Boot
Virtual execution pipeline
Einbindung über den virtuellen Stream-Pfad.
// Virtuelle Einbindung des verschlüsselten Artefakts
include_once "vgt://artifact_hash_id/plugin.php";
// 1. Stream Wrapper validiert Artefakt-ID und Zielpfad
// 2. Vault Manager lokalisiert den Ciphertext
// 3. HKDF erzeugt kontextgebundenes Schlüsselmaterial
// 4. AES-256-GCM prüft Tag und entschlüsselt in einen Prozesspuffer
// 5. PHP erhält den Inhalt über den virtuellen Stream
// 6. Bei Authentifizierungs- oder Pfadfehlern wird abgebrochenSecurity controls
Kryptografie ist nur eine Schutzschicht.
Der tatsächliche Schutz hängt zusätzlich von WordPress-Salts, Dateirechten, Serverkonfiguration, PHP-Prozessisolation, Backup-Systemen, Debugging, Swap und Administrationssicherheit ab.
Autoloader Guard
Klassennamen werden auf erlaubte Zeichen und Namespaces begrenzt, bevor ein Dateipfad erzeugt wird. Der interne Klassenstatus wird für wiederholte Zugriffe gecacht.
Boot Idempotence
Konstanten verhindern doppeltes Laden und mehrfachen Boot pro Request. Der Runtime-Start berücksichtigt Standard- und MU-Plugin-Situationen.
Path Boundary
Der Stream-Layer muss jeden Zielpfad gegen die Artefaktwurzel prüfen. Ein Präfixvergleich allein genügt nur nach verlässlicher Normalisierung.
Authenticated Decryption
AES-GCM akzeptiert nur Ciphertext mit passendem Authentifizierungstag und Kontext. Fehler dürfen niemals als partielle Ausführung fortgesetzt werden.
Administration
Vault-Operationen benötigen serverseitige Capability-Prüfungen, WordPress-Nonces, Upload-Grenzen und kontrollierte Fehlerantworten.
Memory Reality
Entschlüsselter Code existiert während der Ausführung im Prozessspeicher. Schutz vor Swap, Core-Dumps, Opcache-Exposition und Host-Zugriff ist eine Infrastrukturaufgabe.
Artifact creation
Die Runtime lädt. Der Encryptor erzeugt.
VGT OS ist nicht selbst der Compiler des proprietären Plugins. Für kompatible Artefakte wird ein separates Erzeugungswerkzeug benötigt.
Eigener kompatibler Encryptor
Entwickler können einen eigenen Build-Prozess erstellen, sofern Manifest, Ciphertext, Schlüsselableitung und Artefaktstruktur exakt mit der Runtime-Spezifikation übereinstimmen.
- volle Kontrolle über Build- und Schlüsselprozess
- eigene CI/CD-Integration
- eigene Obfuskations- oder Transformationsstrategie
- Kompatibilitätstests gegen jede Runtime-Version erforderlich
- Schlüsselverwaltung bleibt vollständig beim Betreiber
Kommerzieller VGT Encryptor
Die Repository-Dokumentation beschreibt ein separates kommerzielles Werkzeug für AST-Transformation, Obfuskation, Verschlüsselung und automatische Manifest-Erzeugung.
- automatisierte Artefaktbündelung
- AES-GCM-, HKDF- und AAD-kompatible Ausgabe
- optionale AST-basierte Transformation
- kommerzielle Lizenz und Support getrennt von VGT OS
- Bezeichnung und Version vor Vertrag verbindlich festlegen
Legal boundary
Interoperabilität ist relevant. Sie entscheidet den GPL-Status nicht automatisch.
Die alte Seite formulierte eine rechtliche Gewissheit, die aus Richtlinie, Urteil und technischer Trennung allein nicht folgt. Die belastbare Darstellung muss beide Positionen sichtbar machen.
Technische Trennung und Lizenzanalyse sind zwei verschiedene Prüfungen.
Die EU-Software-Richtlinie schützt nicht die Ideen und Grundsätze, die Schnittstellen zugrunde liegen. Der EuGH hat außerdem entschieden, dass Funktionalität und Programmiersprache als solche nicht urheberrechtlich geschützte Ausdrucksformen sind. Daraus folgt jedoch nicht pauschal, dass jedes WordPress-Plugin unabhängig von Struktur, Kopplung und übernommenem Code außerhalb der GPL liegt.
Unabhängiges Artefakt über definierte Interfaces.
VGT OS verfolgt die Position, dass ein eigenständig entwickeltes Artefakt, das nur über definierte Host-Schnittstellen kommuniziert und keinen geschützten WordPress-Code übernimmt, als getrenntes Werk behandelt werden kann.
- Contracts und Adapter reduzieren direkte Host-Kopplung
- verschlüsseltes Artefakt bleibt technisch separat gespeichert
- Interoperabilität und Schnittstellen sind rechtlich relevante Faktoren
- technische Trennung kann die Argumentation unterstützen
- Einzelfallprüfung bleibt erforderlich
Plugins und Themes gelten grundsätzlich als abgeleitete Werke.
WordPress.org erklärt, dass Derivate von WordPress-Code die GPL übernehmen und vertritt ausdrücklich die Auffassung, Plugins und Themes seien grundsätzlich abgeleitete Werke. Gleichzeitig wird eine rechtliche Grauzone bei der Abgrenzung anerkannt.
- Repository- und Produktlizenz müssen konsistent sein
- übernommener WordPress-Code verändert die Bewertung erheblich
- Hook-Nutzung allein beantwortet nicht jede Derivatefrage
- Vertrieb, SaaS und Quellcodebereitstellung getrennt prüfen
- vor kommerziellem Einsatz spezialisierten Rechtsrat einholen
Deployment outline
Laborinstallation mit kontrolliertem Rückweg.
Dokumentierte Basis
- WordPress 6.0 oder neuer
- PHP 8.0 oder neuer
- OpenSSL-Erweiterung
- kontrollierter Dateisystemzugriff
- isolierte Test- oder Staging-Umgebung
- vollständiges Backup vor Aktivierung
Sicherer Testablauf
- Repository und Lizenzdateien prüfen; Versionen und Hashes dokumentieren.
- In einer separaten Staging-Instanz installieren, nicht direkt im Produktivsystem.
- MU-Deployment, Aktivierung und Deaktivierung mit vorbereitetem Dateisystemzugriff testen.
- Eigenes Testartefakt mit nicht sensibler Beispiel-Logik erstellen und mounten.
- Fehlerszenarien testen: falscher Schlüssel, manipuliertes Tag, ungültiger Pfad und defektes Manifest.
- Backup, Restore, Plugin-Removal und manuellen Recovery-Pfad verifizieren.
VGT OS · Encrypted Artifact Runtime
Offene Runtime. Kontrollierter Vault. Ehrliche Systemgrenzen.
Prüfe den Quellcode, teste die Pipeline isoliert und definiere Verschlüsselung, Schlüsselverwaltung, Recovery und Lizenzmodell vor jeder produktiven Integration.