Crunu vs. HashiCorp Vault für Team-Secrets

HashiCorp Vault ist eine Allzweckplattform für Secrets. Vault speichert statische Secrets, erzeugt Zugangsdaten auf Anfrage, stellt Zertifikate aus und bietet Verschlüsselung als Dienst, eingebettet in Policies und viele Authentifizierungsmethoden. Crunu übernimmt einen Teil dieser Aufgabe: statische Secrets für ein Team, also .env-Dateien, Cloud-Zugangsdaten und API-Schlüssel, geordnet nach Projekt und Umgebung.

Der tiefere Unterschied liegt darin, wo Werte entschlüsselt werden. Vault verschlüsselt Daten, bevor es sie in den Speicher schreibt, und ein entsiegelter Vault-Server entschlüsselt sie, um Anfragen zu beantworten. Der Server von Crunu besitzt nie einen Schlüssel zum Entschlüsseln: Werte werden ausschließlich im Browser und im Agenten crunu ver- und entschlüsselt. Diese Entscheidung ist auch der Grund, warum Crunu manches nicht kann, was Vault am besten kann.

Für wen sich was eignet

Vault eignet sich für Plattform- und Security-Teams, die dynamische Datenbank- oder Cloud-Zugangsdaten, Zertifikate, Verschlüsselung als Dienst oder eine Kubernetes-Integration brauchen. Es passt zu Organisationen, deren Leute Design, Deployment, Skalierung und Upgrades eines kritischen Dienstes verantworten können, oder die das verwaltete HCP Vault Dedicated kaufen.

Crunu eignet sich für Teams, die vor allem statische Secrets an einem Ort brauchen, mit Zugriff pro Umgebung, Auslieferung an Maschinen und CI und einem sauberen Ablauf, wenn jemand geht. Es passt zu Teams, deren Server Werte nicht lesen können soll und die lieber keinen Vault-Cluster betreiben.

Im direkten Vergleich

Wo Vault stärker ist

• Dynamische Secrets. Vault kann auf Anfrage für jeden Dienst einen Datenbanknutzer anlegen und ihn widerrufen, wenn die Lease abläuft, mit einer Standard-TTL von einer Stunde und höchstens 24 Stunden. Crunu speichert Werte, erzeugt aber keine.
• Breite. Engines für PKI, Transit, SSH und Cloud-Zugangsdaten decken weit mehr ab als statische Secrets. Crunu ist bewusst kleiner.
• Kubernetes. Vault liefert ein Helm-Chart, den Vault Secrets Operator, einen CSI-Provider und einen Agent Injector. Crunu hat keine Kubernetes-Integration.
• Skalierung. Vault Enterprise ergänzt Namespaces, Performance- und Disaster-Recovery-Replikation, Secrets Sync, Control Groups und Sentinel-Policies.
• Verwaltete Variante. HCP Vault Dedicated ist Vault Enterprise, betrieben von HashiCorp auf AWS oder Azure. Die Cloud von Crunu ist neu, im Early Access und hat kein veröffentlichtes externes Audit.

Was Crunu anders macht

Der Server kann Secrets nicht lesen. Bei Vault reicht es nicht, das Speicher-Backend zu schützen: Der entsiegelte Server hält den Schlüssel, der die gespeicherten Daten entschlüsselt. Crunu nimmt diesen Schlüssel vom Server. Eine vollständige Kopie seiner Datenbank hilft nicht beim Erraten von Passwörtern, weil der Kontoschlüssel zusätzlich von einem Secret Key abhängt, den der Server nie erhält. Zugriffslisten und Versionen sind signiert, sodass sich der Server nicht unbemerkt selbst als Empfänger eintragen kann.

Weniger zu betreiben. Ein selbst gehosteter Crunu-Server läuft auf Serverless-Plattformen wie Cloudflare Workers mit D1 oder Vercel mit Postgres, aber auch auf einem einzelnen Docker-Host. Zwischen ihnen zieht er mit einem einzigen Archiv ohne Klartextwerte um.

Wenn Personen gehen. Das Entfernen eines Mitglieds rotiert die Schlüssel aller Umgebungen, die es lesen konnte. Der Ablauf zum Entfernen von Mitgliedern listet auf, was die Person erhalten hat und welche Werte bei Anbietern neu auszustellen sind.

Netzwerkbeschränkungen mit Verzögerung. Eine Netzwerkrichtlinie der Umgebung liefert Inhalte nur an erlaubte Netzwerke aus. Eine Verschärfung wirkt sofort. Eine Lockerung greift erst nach 15 Minuten und löst eine Warnung aus, oder sie braucht eine zweite Signatur. Durchgesetzt wird das vom Server, nicht durch Kryptografie, wie die Seite zu den Grenzen von Crunu erklärt.

Umstieg auf Crunu

1. Erstellen Sie ein Konto und sichern Sie Ihr Emergency Kit.
2. Legen Sie Projekte und Umgebungen an, die der Gliederung Ihrer Vault-Pfade entsprechen.
3. Schreiben Sie auf einer vertrauenswürdigen Maschine die benötigten statischen Werte in .env- oder INI-Dateien.
4. Ziehen Sie die Dateien in die jeweilige Umgebung und löschen Sie danach die Klartextkopien.
5. Registrieren Sie Ihre Server mit einem einmal gültigen Registrierungscode als Maschinen und geben Sie Pipelines Service-Tokens mit OIDC-Bindung.

Für dynamische Zugangsdaten, PKI und Transit gibt es in Crunu keine Entsprechung. Wenn Sie darauf angewiesen sind, behalten Sie Vault für diese Aufgaben.