Crunu vs. Infisical für Team-Secrets

Infisical ist eine Open-Source-Plattform für Secrets mit gehosteter Cloud und einer Option zum Selbsthosten. Sie umfasst Secrets-Management, dynamische Secrets, Rotation, Syncs zu anderen Plattformen, einen Kubernetes-Operator, SDKs in vielen Sprachen und eigene Produkte für Zertifikate und privilegierten Zugriff. Crunu ist kleiner und trifft im Kern eine andere Entscheidung: Der Server besitzt nie einen Schlüssel, der Ihre Werte entschlüsseln könnte.

Wenn Sie zwischen beiden wählen, geht es vor allem darum, welchen Kompromiss Sie eingehen wollen. Der Server von Infisical entschlüsselt Secrets, um sie auszuliefern, und Infisical bietet darauf aufbauend Syncs, Rotation und erzeugte Zugangsdaten. Der Server von Crunu kann Werte nicht lesen, und das schließt diese Funktionen aus.

Für wen sich was eignet

Infisical eignet sich für Teams, die eine quelloffene, selbst hostbare Plattform mit umfassender Automatisierung wollen: Secret-Syncs, dynamische Zugangsdaten, Rotation, Freigabe-Workflows, temporärer Zugriff, Kubernetes und SDKs. Es passt zu Unternehmen, die heute einen Anbieter mit SOC-2-Konformität brauchen und einen Server, der Secrets entschlüsseln kann, als Teil des Designs akzeptieren.

Crunu eignet sich für Teams, die einen Tresor wollen, dessen Server Werte nicht lesen kann, wenn sein Host oder seine Datenbank kompromittiert wird. Es passt zu Teams, die statische Secrets an Linux-Maschinen und CI-Pipelines ausliefern, einen signierten Nachweis wollen, wer welche Umgebung lesen darf, und einen genauen Bericht darüber, was eine ausscheidende Person erhalten hat.

Im direkten Vergleich

Wo Infisical stärker ist

• Open Source. Der Kern von Infisical steht unter der MIT-Lizenz, und die Dokumentation beschreibt das Selbsthosten mit Docker, Kubernetes, einem Linux-Paket, AWS und GCP. Der Quellcode von Crunu ist nicht veröffentlicht.
• Automatisierung. Secret-Syncs, dynamische Secrets, geplante Rotation und Freigabe-Workflows sind je nach Tarif verfügbar. Crunu hat nichts davon.
• Ökosystem. Infisical liefert einen Kubernetes-Operator, einen Terraform-Provider und SDKs für neun Sprachen, darunter Node.js, Python, Go und Java. Crunu bietet crunu run und crunu pull, ohne SDKs und ohne Kubernetes-Unterstützung.
• Temporärer Zugriff. Infisical bietet temporäre Zugriffsfreigaben ab dem Tarif Advanced. Bei Crunu laufen nur Einladungen, Freigabelinks, Service-Tokens, Leases von Maschinen und Break-Glass-Zugriffe ab.
• Nachweise. Infisical beschreibt sich als konform mit SOC 2, HIPAA und FIPS 140-3 und führt zweimal im Jahr Penetrationstests durch. Crunu ist im Early Access und veröffentlicht weder einen SOC-2-Bericht noch ein externes Audit.

Was Crunu anders macht

Der Server ist von Grund auf blind. Dank der geschichteten Schlüssel von Infisical reicht eine gestohlene Datenbank allein nicht aus, um Daten zu entschlüsseln. Der laufende Server erhält den Root-Schlüssel jedoch von seinem Betreiber und entschlüsselt angefragte Daten, bevor er antwortet. Crunu hat keinen solchen Schlüssel auf dem Server. Werte werden auf Ihren Geräten mit den öffentlichen Schlüsseln der Personen und Maschinen versiegelt, die sie lesen dürfen.

Signierter Zugriff. Die Liste, wer eine Umgebung lesen darf, ist ein Dokument, das ein Admin signiert hat, und jede Version ist von ihrem Autor signiert. Clients und Agenten prüfen diese Signaturen und lehnen ältere Stände ab, sodass sich ein kompromittierter Server nicht unbemerkt selbst als Leser eintragen kann.

Ein Weggang ist ein Schlüsselereignis. Das Entfernen eines Mitglieds rotiert die Schlüssel aller Umgebungen, die es lesen konnte. Der Ablauf zum Entfernen von Mitgliedern zeigt, welche Versionen die Person erhalten hat, und listet die Werte auf, die bei Anbietern neu auszustellen sind.

Was Crunu nicht schützen kann. Der Server sieht weiterhin Metadaten wie Namen, E-Mail-Adressen und Zeitstempel, und ein Web-Client, den ein kompromittierter Server ausliefert, ist das größte verbleibende Risiko. Die Seite zu den Grenzen von Crunu behandelt das, ebenso die lokale Datei crunu.html, die dieses Risiko verringert.

Umstieg auf Crunu

1. Erstellen Sie ein Konto und sichern Sie Ihr Emergency Kit.
2. Legen Sie für jedes Infisical-Projekt ein Projekt an und für jede genutzte Umgebung eine Umgebung.
3. Schreiben Sie auf einer vertrauenswürdigen Maschine die benötigten Werte in .env-Dateien.
4. Ziehen Sie die Dateien in die passenden Umgebungen und löschen Sie danach die Klartextkopien.
5. Ersetzen Sie infisical run durch crunu run, registrieren Sie Ihre Server als Maschinen und geben Sie Pipelines Service-Tokens mit OIDC-Bindung.

Für dynamische Secrets, Syncs und die Auslieferung an Kubernetes gibt es in Crunu keine Entsprechung. Behalten Sie dafür Infisical, oder planen Sie einen anderen Weg.