Wo der Schutz von Crunu endet
Verschlüsselung auf Ihren Geräten bedeutet, dass der Server Ihre Secrets nicht lesen kann. Sie beseitigt aber nicht jedes Risiko. Hier sind alle Grenzen, die wir kennen, aus dem Bedrohungsmodell des Produkts selbst, und was Sie jeweils dagegen tun können.
Was Verschlüsselung auf Ihren Geräten nicht verhindern kann
Crunu entschlüsselt auf Ihren Geräten. Wer ein Gerät oder die darauf laufende Seite kontrolliert, kann also sehen, was dieses Gerät entschlüsselt. Verschlüsselung kann auch nicht zurückholen, was jemand bereits gesehen hat.
- Eine manipulierte Seite könnte Ihr Passwort und Ihren Secret Key abgreifen.Die Seite auf app.crunu.com kommt vom Server. Ein Server, in den eingebrochen wurde oder der böswillig betrieben wird, könnte also eine Seite senden, die aufzeichnet, was Sie eingeben. Die App prüft sich bei jedem Laden gegen das signierte Manifest von Crunu, doch diese Prüfung läuft in derselben Seite. Auf app.crunu.com vertrauen Sie dabei Crunu und dessen Hosting, auf Ihrem eigenen Server denen, die ihn betreiben. Was Sie tun können: Warnt die App „Build signature doesn’t match: do not enter your password“, geben Sie Ihr Passwort nicht ein. Betreiben Sie einen eigenen Server, wenn die Seite von Infrastruktur kommen muss, die Sie kontrollieren.
- Was jemand gesehen hat, lässt sich nicht zurückholen.Wenn Sie eine Person entfernen oder eine Maschine widerrufen, werden die Schlüssel rotiert, sodass sie nichts Neues mehr lesen kann. Werte, die sie schon gesehen hat, funktionieren weiter, überall dort, wo diese Werte gültig sind. Was Sie tun können: Führen Sie „Remove from organization“ aus, arbeiten Sie die Checkliste für Neuausstellungen ab und stellen Sie jeden Wert beim Anbieter neu aus, zuerst dort, wo es am meisten zählt.
- Wer ein Gerät oder eine Maschine kontrolliert, sieht, was dort entschlüsselt wird.Schadsoftware, eine Browsererweiterung oder root-Rechte auf Ihrem Computer können lesen, was dort entschlüsselt wird. Wer auf einer Maschine mit dem Agenten root-Rechte hat, sieht alles, was an sie ausgeliefert wird, und ein laufendes Programm behält seine Variablen bis zum Neustart. Was Sie tun können: Nutzen Sie Geräte, die Sie kontrollieren, geben Sie Maschinen nur das, was auf ihnen läuft, und verwenden Sie nach einer Kompromittierung „Device compromised“ oder widerrufen Sie die Maschine. Stellen Sie danach ihre Werte neu aus.
Was der Server trotzdem kann
Auf app.crunu.com betreibt Crunu den Server, auf Ihrem eigenen Server tun das die Betreiber. In beiden Fällen gelten diese Grenzen auch für alle, die in den Server eindringen. Der Server kann Ihre Umgebungen nicht lesen, ist aber nicht machtlos.
- Er sieht Metadaten.Der Server liest die Namen von Organisationen, Projekten, Umgebungen, Maschinen und Personen, E-Mail-Adressen, das Audit-Log, wer welche Version von wo erhalten hat sowie Zeitpunkt und Größe jeder Version. Nichts innerhalb einer Umgebung, nicht einmal Variablen- oder Dateinamen. Was Sie tun können: Halten Sie Secrets aus Namen heraus. Ein Projekt, das nach einem unangekündigten Deal benannt ist, verrät dem Server den Deal.
- Er kann den Dienst verweigern oder Schreibvorgänge verwerfen.Ein Server kann aufhören zu antworten oder behaupten, eine Änderung nie erhalten zu haben, und Verschlüsselung kann ihn nicht zwingen, Sie zu bedienen. Was Sie tun können: Laden Sie von Zeit zu Zeit eine Offline-Kopie herunter. Sie öffnet sich mit Ihrem Passwort und Ihrem Secret Key, ganz ohne Server. Exportieren Sie auf Ihrem eigenen Server täglich die Datenbank. Im Early Access gibt es für app.crunu.com keine Zusage zur Verfügbarkeit.
- Er könnte einem neuen Gerät einen alten Stand Ihrer Organisation zeigen.Ihre Geräte lehnen alles ab, was älter ist als der Stand, den sie schon akzeptiert haben, doch ein Gerät, das Sie noch nie benutzt haben, hat nichts zum Vergleichen. Ein kompromittierter Server könnte ihm im Zusammenspiel mit jemandem, den Sie entfernt haben, Ihre Organisation so zeigen, wie sie vor dem Entfernen war. Ohne eine externe Quelle für Aktualität kann Crunu das nicht vollständig ausschließen. Was Sie tun können: Nutzen Sie auf einem neuen Gerät „Compare with your other devices“ in „Organization settings“. Weichen die Nummern ab, speichern Sie nichts von diesem Gerät aus und informieren Sie einen Owner.
- Netzwerkregeln sind Regeln des Servers, keine Verschlüsselung.Ein kompromittierter Server kann eine IP-Beschränkung ignorieren. Alle hinter demselben NAT oder Proxy teilen sich eine Adresse und gelten deshalb gemeinsam als zugelassen, und Inhalte, die vor einer Beschränkung ausgeliefert wurden, bleiben, wo sie sind. Was Sie tun können: Setzen Sie Netzwerkregeln zusätzlich zu eng gefasstem Zugriff ein, binden Sie CI-Tokens per OIDC, statt sich auf IP-Bereiche der Runner zu verlassen, und stellen Sie nach dem Verschärfen einer Regel die Werte neu aus, die bereits hinausgegangen sind.
Die Wiederherstellung hat harte Grenzen
Weil der Server Ihr Passwort und Ihren Secret Key nie besitzt, kann niemand sie für Sie zurücksetzen. Die Wege zurück ins Konto müssen Sie selbst sicher aufbewahren, und sie öffnen mehr, als Sie vielleicht erwarten.
- Niemand kann Ihr Passwort zurücksetzen.Verlieren Sie Ihr Passwort, Ihren Secret Key und Ihren Wiederherstellungscode, kann niemand Ihr Konto öffnen, auch wir nicht. Verlieren alle Owner und Admins den Zugang, bleibt niemand übrig, der die Organisation verwaltet. Was Sie tun können: Drucken Sie das Emergency Kit aus und bewahren Sie es getrennt von Ihren Geräten auf, erstellen Sie einen Wiederherstellungscode und sorgen Sie für mindestens zwei Owner oder Admins.
- Ein Wiederherstellungscode umgeht Ihren zweiten Faktor.Er öffnet Ihr Konto nach einer Wartezeit, standardmäßig einer Stunde. Die Wartezeit und die Warnung steuert der Server. Ein kompromittierter Server könnte also im Zusammenspiel mit jemandem, der Ihren Code hat, den Zugang sofort herausgeben. Was Sie tun können: Bewahren Sie den Code getrennt von Emergency Kit und Geräten auf. Erhalten Sie eine Warnung zu einer Wiederherstellung, die Sie nicht gestartet haben, brechen Sie sie ab und löschen Sie den Code.
- Owner und Admins können geteilte Umgebungen öffnen.Jeder geteilte Umgebungsschlüssel ist zusätzlich für den Wiederherstellungsschlüssel der Organisation versiegelt, den Owner und Admins besitzen. Solange die Wiederherstellung persönlicher Umgebungen aktiv ist, wie in der Voreinstellung, können sie auch die persönlichen Umgebungen von Mitgliedern öffnen. Was Sie tun können: Vergeben Sie diese Rollen nur an die wenigen Personen, die die Organisation führen. Ein Owner kann die Wiederherstellung persönlicher Umgebungen abschalten. Geht dann ein Konto verloren, sind auch seine persönlichen Umgebungen verloren.
- Ein gestohlenes Gerät enthält Ihren Secret Key.Standardmäßig speichert Ihr Browser den Secret Key, damit Sie ihn nicht bei jeder Anmeldung eingeben müssen. Damit bleibt Ihr Passwort die einzige Hürde. Was Sie tun können: Verwenden Sie ein starkes Passwort, das Sie nur für Crunu nutzen, halten Sie die Sperre bei Inaktivität kurz und entfernen Sie das gestohlene Gerät von einem anderen Gerät aus oder nutzen Sie „Device compromised“.
Wenn Sie einen eigenen Server betreiben
Diese Punkte betreffen alle, die den Server betreiben. Auf app.crunu.com ist das Crunu. Einer davon betrifft Ihre Geräte auf jedem Server, auch auf app.crunu.com: Das Wiederherstellen der Datenbank aus einem Backup macht jede danach vorgenommene Änderung rückgängig.
- Ohne E-Mail-Versand werden Adressen in Einladungen nicht bestätigt.Ein Server ohne eingerichteten E-Mail-Versand kann keinen Code senden, um die Adresse einer Einladung zu bestätigen. Jemand könnte also eine Adresse übernehmen, die nicht die eigene ist. Der Abgleich des Fingerabdrucks hält den Schlüssel einer fremden Person trotzdem fern. Auf app.crunu.com ist der E-Mail-Versand eingerichtet. Was Sie tun können: Setzen Sie
RESEND_API_KEYundALERT_EMAIL_FROM, bevor Sie Personen außerhalb Ihres Teams einladen, und gleichen Sie immer den Fingerabdruck ab. SERVER_KEYist das eigene Geheimnis des Servers.Er signiert Sitzungen, Freigabelinks und Einladungen und verschlüsselt die Geheimnisse von Authenticator-Apps, nicht aber Ihre Umgebungen. Geht er verloren, werden alle abgemeldet und Freigabelinks funktionieren nicht mehr. Gelangt er zusammen mit einer Datenbankkopie nach außen, schwächt das die Codes der Authenticator-Apps. Was Sie tun können: Bewahren Sie die Datei.envin einem Passwortmanager auf, getrennt von Backups, und rotieren Sie den Schlüssel nach dem dokumentierten Verfahren.- Eine Wiederherstellung setzt alles zurück.Das Wiederherstellen eines Backups macht jede spätere Änderung rückgängig. Geräte, die neuere Daten gesehen haben, melden einen Rollback und verweigern diese Umgebungen, bis ihr gespeicherter Stand zurückgesetzt ist. Was Sie tun können: Sichern Sie täglich, setzen Sie Agenten und Browser nur nach einer Wiederherstellung zurück, die Sie selbst durchgeführt haben, und behandeln Sie eine Rollback-Warnung ohne eine solche Wiederherstellung als Alarmzeichen.
- Wählen Sie Adresse und Plattform mit Bedacht.Anmeldesignaturen, Freigabelinks, Passkeys und Agenten sind an die Adresse des Servers gebunden, sie lässt sich später also nicht ändern. Im kostenlosen Tarif von Cloudflare Workers bekommt eine Anfrage 10 ms CPU-Zeit, und auf Google Cloud Run und AWS App Runner kommen manche Warnungen verspätet an. AWS hat App Runner für Neukunden geschlossen. Was Sie tun können: Verwenden Sie eine Domain, die Sie behalten, für ein Team den Tarif Workers Paid und eine Plattform mit Scheduler, wenn diese Warnungen wichtig sind.
Bewusst nicht in Crunu, oder noch nicht
Manches macht Crunu nicht. Eines davon wird es nie geben, weil es Schlüssel auf dem Server bräuchte. Die anderen fehlen heute, planen Sie also entsprechend.
- Keine dynamischen Secrets.Crunu erzeugt keine kurzlebigen Datenbankpasswörter oder Cloud-Zugangsdaten auf Anfrage. Dafür bräuchte es Schlüssel auf dem Server, und genau die soll Crunu nicht haben. Das wird sich nicht ändern. Was Sie tun können: Nutzen Sie die kurzlebigen Zugangsdaten Ihres Anbieters, wo er sie anbietet.
- Keine automatische Neuausstellung bei Anbietern.Die Rotation in Crunu ändert Verschlüsselungsschlüssel. Die Werte selbst stellen Sie bei jedem Anbieter von Hand neu aus, anhand der Checkliste für Neuausstellungen. Was Sie tun können: Stellen Sie langlebige Zugangsdaten nach festem Plan neu aus und speichern Sie jeden neuen Wert als neue Version.
- Kein zeitlich begrenzter Zugriff für Personen.Der Zugriff auf eine Umgebung hat kein Ablaufdatum. Einen Ablauf gibt es für Einladungen, Freigabelinks, Service-Tokens, Leases von Maschinen und Break-Glass-Zugriffe. Was Sie tun können: Prüfen Sie, wer Zugriff auf production hat, wenn Personen ihre Rolle wechseln, und nutzen Sie für einmalige Fälle einen Freigabelink mit Ablaufdatum.
Fragen zu diesen Grenzen
Können Mitarbeitende von Crunu meine Secrets lesen?
Nein. Auf app.crunu.com betreibt Crunu den Server, und der Server hat nur Chiffretext und keinen Schlüssel, um ihn zu entschlüsseln. Wir sehen Metadaten wie Namen, E-Mail-Adressen und das Audit-Log, aufgeführt in der Datenschutzerklärung. Um an Ihre Werte zu gelangen, müsste man den Code ändern, der auf Ihrem Gerät läuft. Das ist die erste Grenze auf dieser Seite.
Fallen diese Grenzen weg, wenn ich einen eigenen Server betreibe?
Einige gehen auf Sie über. Sie entscheiden, wer den Server betreibt, der die Webseite ausliefert und die Metadaten sieht, und Sie übernehmen die Grenzen aus „Wenn Sie einen eigenen Server betreiben“. Die Grenzen auf Ihren Geräten bleiben dieselben.
Warum können Sie mein Passwort nicht zurücksetzen?
Ihr Kontoschlüssel wird auf Ihrem Gerät aus Ihrem Passwort und Ihrem Secret Key abgeleitet, und wir erhalten keines von beiden. Genau das hält Ihre Daten für uns unlesbar. Ihr Emergency Kit und ein Wiederherstellungscode sind die Wege zurück ins Konto.
Was sollten wir zuerst tun, wenn jemand geht?
Entfernen Sie die Person aus der Organisation. Crunu liefert ihr nichts mehr aus und rotiert jeden Schlüssel, den sie hatte. Arbeiten Sie dann die Checkliste für Neuausstellungen ab und stellen Sie die Werte, die die Person gesehen hat, beim jeweiligen Anbieter neu aus.
Wird Crunu dynamische Secrets einführen?
Nein. Zugangsdaten auf Anfrage zu erzeugen, erfordert Schlüssel auf dem Server, und Crunu ist so gebaut, dass der Server sie nie hat.
Sie haben eine Grenze gefunden, die hier fehlt?
Schreiben Sie an security@crunu.com. Wir führen sie lieber hier auf, als dass Sie sie auf die harte Tour entdecken.
Legen Sie die Secrets Ihres Teams dorthin, wo der Server sie nicht lesen kann
Erstellen Sie Ihr Konto auf app.crunu.com. Ihre Schlüssel entstehen in Ihrem Browser, und der Server erhält nur Chiffretext.