Crunu vs. 1Password für Team-Secrets

1Password ist ein Passwortmanager mit einer Reihe von Entwicklerwerkzeugen: Service-Accounts, ein selbst gehosteter Connect-Server, eine CLI, die Secrets an Prozesse übergibt, und Environments für Projektvariablen. Crunu ist enger gefasst: ein Tresor für Umgebungsvariablen, Cloud-Zugangsdaten und API-Schlüssel, mit einem Agenten für Maschinen und CI-Pipelines.

Beide verschlüsseln auf Ihren Geräten, und beide kombinieren das Kontopasswort mit einem Secret Key, der auf Ihren Geräten gespeichert ist. Das Anmeldemodell von Crunu folgt dem Design aus dem Security-Whitepaper von 1Password. Die Unterschiede liegen beim Entfernen von Personen, beim Betrieb des Servers und bei der Auslieferung von Secrets an Maschinen.

Für wen sich was eignet

1Password eignet sich für Teams, die ein einziges Werkzeug für Website-Logins, Passkeys, geteilte Passwörter und Entwickler-Secrets wollen. Es gibt Apps für Mac, Windows, Linux, iOS und Android sowie Browsererweiterungen. Nutzt Ihr Unternehmen bereits 1Password Business mit Single Sign-on und automatischer Bereitstellung über einen Identitätsanbieter, können Entwickler-Secrets in dem Werkzeug bleiben, das Ihre Admins ohnehin verwalten.

Crunu eignet sich für Engineering-Teams, deren eigentliches Problem .env-Dateien, ~/.aws/credentials und API-Schlüssel sind, verstreut über Laptops, Chats und CI-Einstellungen. Crunu ist um Projekte, Umgebungen, Maschinen und Pipelines herum gebaut – und um den Tag, an dem jemand das Team verlässt. Es eignet sich auch für Teams, die den Tresor-Server auf eigener Infrastruktur betreiben wollen.

Im direkten Vergleich

Wo 1Password stärker ist

• Breite. 1Password deckt Logins, Passkeys, automatisches Ausfüllen und Entwickler-Secrets auf Desktop und Mobilgeräten ab. Crunu hat keine Mobil-Apps, keine Browsererweiterung und keinen Windows-Agenten.
• Anbindung an Identitätsanbieter. 1Password Business verbindet sich für Anmeldung und Bereitstellung mit Identitätsanbietern wie Okta, Microsoft Entra ID und Google Workspace. Crunu hat weder SSO noch SCIM.
• Nachweise. 1Password gibt an, nach SOC 2 Type 2 zertifiziert zu sein, veröffentlicht die Ergebnisse unabhängiger Audits und betreibt ein Bug-Bounty-Programm. Crunu ist ein neues Produkt im Early Access und veröffentlicht weder einen SOC-2-Bericht noch ein externes Audit.
• Kubernetes und SDKs. 1Password bietet einen Kubernetes Operator, einen Secrets Injector, Helm-Charts und SDKs für Go, JavaScript und Python. Crunu hat nichts davon. Anwendungen nutzen crunu run.
• Cloud-Synchronisierung. 1Password Environments kann Variablen mit AWS Secrets Manager synchronisieren, eine Funktion, die 1Password als Beta kennzeichnet. Crunu hat keine eingebaute Synchronisierung mit Secret-Stores in der Cloud.

Was passiert, wenn jemand geht

Hier liegt der deutlichste Unterschied im Design, und 1Password dokumentiert ihn offen. Jedes Tresormitglied besitzt eine Kopie des Tresorschlüssels, verschlüsselt mit dem eigenen öffentlichen Schlüssel. Beim Entfernen wird diese Kopie auf dem Server gelöscht, der Server sendet keine Tresordaten mehr, und der Client wird angewiesen, lokale Kopien zu löschen. Das Whitepaper hält fest, dass das Entfernen nicht kryptografisch durchgesetzt wird und die Schlüssel nicht geändert werden. Wer den Tresorschlüssel vorher gespeichert hat, könnte spätere Einträge nur lesen, wenn er zusätzlich an aktualisierte verschlüsselte Daten gelangt. Als Gegenmaßnahme schlägt 1Password vor, die Einträge in einen neuen Tresor zu verschieben, der einen neuen Schlüssel hat.

Crunu rotiert beim Entfernen die Schlüssel. Der Server liefert der Person nichts mehr aus, und jede Umgebung, die sie lesen konnte, erhält einen neuen Schlüssel, den sie nie besessen hat. Geht jemand mit Admin-Rechten, werden auch der Signatur- und der Wiederherstellungsschlüssel der Organisation ersetzt. Der Ablauf zum Entfernen von Mitgliedern zeigt, welche Versionen die Person erhalten hat, und listet die Werte auf, die bei jedem Anbieter neu auszustellen sind.

Kein Produkt kann eine Person vergessen lassen, was sie schon gesehen hat. Diese Werte bleiben gültig, bis Sie sie beim Anbieter neu ausstellen, wie die Seite zu den Grenzen von Crunu erklärt.

Umstieg auf Crunu

1. Erstellen Sie ein Konto. Ihre Schlüssel entstehen in der App. Sichern Sie vor allem anderen das Emergency Kit.
2. Legen Sie für jede Anwendung ein Projekt an und für jede Stufe eine Umgebung, zum Beispiel development, staging und production.
3. Schreiben Sie auf einem vertrauenswürdigen Computer die benötigten Werte in .env-Dateien, für Werkzeuge wie die AWS CLI in INI-Dateien.
4. Ziehen Sie die Dateien oder Ordner wie .aws in die Umgebung. Crunu liest KEY=VALUE-Dateien, INI-Abschnitte, flaches YAML und reinen Text.
5. Laden Sie Ihr Team ein und geben Sie jeder Person eine Rolle pro Umgebung: Editor, Reader, Specific files oder Operator.
6. Registrieren Sie Ihre Server als Maschinen und geben Sie Pipelines Service-Tokens. Löschen Sie danach die Klartextdateien aus Schritt 3.