Crunu vs. 1Password para los secretos del equipo

1Password es un gestor de contraseñas con un conjunto de herramientas para desarrolladores: cuentas de servicio, un servidor Connect autoalojado, una CLI que pasa secretos a los procesos y Environments para las variables de los proyectos. Crunu es más acotado: una bóveda para variables de entorno, credenciales de la nube y claves de API, con un agente para máquinas y pipelines de CI.

Ambos cifran en tus dispositivos, y ambos combinan la contraseña de la cuenta con una Secret Key guardada en tus dispositivos. El modelo de inicio de sesión de Crunu sigue el diseño descrito en el documento técnico de seguridad de 1Password. Las diferencias están en cómo se da de baja a las personas, dónde se ejecuta el servidor y cómo llegan los secretos a las máquinas.

A quién le conviene cada uno

1Password conviene a los equipos que quieren una sola herramienta para los accesos a sitios web, las llaves de acceso, las contraseñas compartidas y los secretos de desarrollo. Tiene apps para Mac, Windows, Linux, iOS y Android, además de extensiones de navegador. Si tu empresa ya usa 1Password Business con inicio de sesión único y aprovisionamiento automático desde un proveedor de identidad, los secretos de desarrollo pueden quedarse en la herramienta que tus administradores ya gestionan.

Crunu conviene a los equipos de ingeniería cuyo problema real son los archivos .env, ~/.aws/credentials y las claves de API repartidos entre portátiles, chats y ajustes de CI. Está construido en torno a proyectos, entornos, máquinas y pipelines, y en torno al día en que alguien deja el equipo. También conviene a los equipos que quieren ejecutar el servidor de la bóveda en su propia infraestructura.

Comparativa punto por punto

En qué destaca 1Password

• Amplitud. 1Password cubre accesos a sitios web, llaves de acceso, autocompletado y secretos de desarrollo en escritorio y en móvil. Crunu no tiene apps móviles, ni extensión de navegador, ni agente para Windows.
• Integración con la identidad. 1Password Business se conecta a proveedores de identidad como Okta, Microsoft Entra ID y Google Workspace para el inicio de sesión y el aprovisionamiento. Crunu no tiene SSO ni SCIM.
• Auditorías y certificaciones. 1Password afirma tener la certificación SOC 2 Type 2, publica los resultados de auditorías independientes y mantiene un programa de recompensas por errores. Crunu es un producto nuevo en acceso anticipado y no publica un informe SOC 2 ni una auditoría externa.
• Kubernetes y SDK. 1Password ofrece un Kubernetes Operator, un Secrets Injector, charts de Helm y SDK para Go, JavaScript y Python. Crunu no tiene nada de esto; las aplicaciones usan crunu run.
• Sincronización con la nube. 1Password Environments puede sincronizar variables con AWS Secrets Manager, una función que 1Password marca como beta. Crunu no tiene sincronización integrada con almacenes de secretos en la nube.

Qué pasa cuando alguien se va

Esta es la diferencia de diseño más clara, y 1Password la documenta sin rodeos. Cada miembro de una bóveda tiene una copia de la clave de la bóveda cifrada con su clave pública. Al darlo de baja, esa copia se borra del servidor, el servidor deja de enviar datos de la bóveda y se indica al cliente que borre las copias locales. El documento técnico afirma que la baja no se impone criptográficamente y que las claves no cambian. Quien haya guardado antes la clave de la bóveda solo podría leer elementos posteriores si además consiguiera los datos cifrados actualizados. La mitigación que sugiere 1Password es mover los elementos a una bóveda nueva, que tiene una clave nueva.

Crunu rota las claves al dar de baja a alguien. El servidor deja de entregar datos a la persona, y cada entorno que podía leer recibe una clave nueva que nunca tuvo. Cuando se va un administrador, también se sustituyen las claves de firma y de recuperación de la organización. El proceso de baja de miembros muestra qué versiones recibió la persona y enumera los valores que reemitir en cada proveedor.

Ninguno de los dos productos puede hacer que una persona olvide lo que ya vio. Esos valores siguen siendo válidos hasta que los reemitas en el proveedor, como explica la página de limitaciones de Crunu.

Cómo pasarse a Crunu

1. Crea una cuenta. Tus claves se crean en la app. Antes que nada, guarda el Emergency Kit.
2. Crea un proyecto para cada aplicación y un entorno para cada etapa, por ejemplo development, staging y production.
3. En una computadora de confianza, pon los valores que necesitas en archivos .env, o en archivos INI para herramientas como la AWS CLI.
4. Arrastra los archivos, o carpetas como .aws, al entorno. Crunu lee archivos KEY=VALUE, secciones INI, YAML plano y texto sin formato.
5. Invita a tu equipo y asigna a cada persona un rol por entorno: Editor, Reader, Specific files u Operator.
6. Inscribe tus servidores como máquinas y da tokens de servicio a los pipelines; después borra los archivos sin cifrar que creaste en el paso 3.