Crunu vs. .env-Dateien in Chats und Notizen

Die meisten Teams fangen auf dieselbe Weise an. Jemand braucht die URL der Staging-Datenbank, also fügt ein Teammitglied die .env-Datei in eine Direktnachricht ein. Wer neu im Team ist, bekommt eine Notiz mit den AWS-Schlüsseln. Externe bekommen den Stripe-Schlüssel im Gruppenchat. Es funktioniert, es kostet nichts, und niemand muss ein neues Werkzeug lernen.

Das Problem zeigt sich später. Dieselben Werte stehen jetzt im Chatverlauf, in der Suche, in Exporten und in den Notizen aller, die sie kopiert haben. Verlässt jemand das Team, kann niemand sagen, wer welchen Schlüssel gesehen hat, und die einzige sichere Antwort ist, alles neu auszustellen. Diese Seite vergleicht diese Gewohnheit ehrlich mit Crunu, auch dort, wo die Gewohnheit völlig ausreicht.

Wofür sich welcher Weg eignet

Chat und Notizen eignen sich für alle, die allein entwickeln, oder für zwei Personen an einem Prototyp ohne Produktionsdaten, nur mit Testschlüsseln und ohne Schaden, falls ein Wert nach außen gelangt. Sie passen auch für eine einmalige Übergabe, nach der der Wert sofort neu ausgestellt wird.

Crunu eignet sich für jedes Team, in dem es Produktionsschlüssel gibt, Leute kommen und gehen, Maschinen und CI dieselben Werte brauchen und irgendwann jemand fragt, wer worauf Zugriff hatte.

Im direkten Vergleich

Wo Chat und Notizen stärker sind

• Keine Einrichtung. Ihr Team nutzt die Chat-App bereits. Crunu braucht ein Konto und hat keine Mobil-Apps.
• Nichts zusätzlich aufzubewahren. Crunu ergänzt Ihr Passwort um einen Secret Key und ein Emergency Kit, und sein Server kann Ihr Passwort nicht zurücksetzen. Ohne Passwort, Secret Key und Wiederherstellungscode kann niemand das Konto öffnen, auch Crunu nicht.
• Tempo bei einer einmaligen Weitergabe. Für einen Testschlüssel, den Sie morgen wegwerfen, ist eine Direktnachricht schneller als jeder Tresor.

Warum sich die Gewohnheit schwer rückgängig machen lässt

Kopien vermehren sich. Eine eingefügte Datei landet im Nachrichtenverlauf und in der Suche, und Cloud-Chats von Telegram sind von jedem Ihrer Geräte aus lesbar. In bezahlten Slack-Tarifen werden Nachrichten und Dateien so lange aufbewahrt, wie der Workspace besteht, sofern die Inhaber des Workspace keine Aufbewahrungsrichtlinie festlegen. Eine Notiz, die in die Cloud synchronisiert wird, ist eine weitere Kopie bei einem weiteren Dienst.

Exporte reichen weiter als der Chat. Inhaber und Admins eines Slack-Workspace können Nachrichten aus öffentlichen Kanälen exportieren. In den Tarifen Business+ und Enterprise lassen sich nach einem Antrag auch private Kanäle und Direktnachrichten exportieren.

Verschlüsselung schützt den Transport, nicht die Gewohnheit. Slack verschlüsselt Daten bei der Übertragung und im Ruhezustand, und mit dem Add-on Enterprise Key Management können Enterprise-Kunden eigene Schlüssel verwenden. Cloud-Chats von Telegram werden verschlüsselt in der Cloud von Telegram gespeichert, nur geheime Chats sind Ende-zu-Ende-verschlüsselt und an ein Gerät gebunden. Nichts davon begrenzt, wer in der Unterhaltung den Wert lesen und kopieren kann.

Wenn jemand geht, gibt es keine saubere Lösung. Laut den Empfehlungen von OWASP sollten offengelegte Schlüssel sofort widerrufen werden, und Secrets sollten nie für alle abrufbar sein. Verlässt ein Teammitglied, das im Chat war, das Team, sollten Sie davon ausgehen, dass jeder Schlüssel darin offengelegt ist.

Wie Crunu dieselben Situationen löst

• Neu im Team. Laden Sie die Person ein und geben Sie ihr ein Zugriffsprofil, zum Beispiel Editor auf development und staging ohne production.
• Externe ohne Konto. Senden Sie einen Freigabelink zu ausgewählten Dateien mit Ablaufdatum, Anzeigelimit oder Passwort. Der Schlüssel zum Entschlüsseln steht im Link nach dem # und wird nie an den Server gesendet. Eine Linkvorschau im Messenger verbraucht den Link nicht. Er öffnet sich erst, wenn jemand auf „Open“ klickt.
• Server oder Pipeline. Registrieren Sie den Server als Maschine oder erstellen Sie ein Service-Token, das per OIDC an ein Repository und einen Branch gebunden ist.
• Jemand geht. Der Ablauf zum Entfernen von Mitgliedern rotiert die Umgebungsschlüssel, widerruft die Tokens und Links der Person und listet die Werte auf, die bei Anbietern neu auszustellen sind.

Crunu kann niemanden dazu bringen, einen bereits gesehenen Wert zu vergessen. Dagegen hilft weiterhin nur, den Wert beim Anbieter neu auszustellen, wie die Seite zu den Grenzen erklärt.

Umstieg auf Crunu

1. Erstellen Sie ein Konto und sichern Sie Ihr Emergency Kit.
2. Legen Sie pro Anwendung ein Projekt mit den Umgebungen development, staging und production an.
3. Ziehen Sie Ihre .env-Dateien oder Ordner wie .aws in die jeweilige Umgebung. Crunu liest KEY=VALUE-Dateien, INI-Abschnitte, flaches YAML und reinen Text. Persönliche Schlüssel wie ~/.aws/credentials gehören in Ihr persönliches Projekt.
4. Laden Sie das Team ein und legen Sie Rollen pro Umgebung fest.
5. Löschen Sie die alten Nachrichten und Notizen, in denen Secrets standen, und stellen Sie jeden Produktionsschlüssel, der je in einen Chat eingefügt wurde, beim Anbieter neu aus.