Crunu vs. HashiCorp Vault para los secretos del equipo

HashiCorp Vault es una plataforma de secretos de uso general. Guarda secretos estáticos, genera credenciales bajo demanda, emite certificados y ofrece cifrado como servicio, con políticas y muchos métodos de autenticación alrededor de todo ello. Crunu hace una parte de ese trabajo: los secretos estáticos de un equipo, es decir, archivos .env, credenciales de la nube y claves de API, organizados por proyecto y entorno.

La diferencia de fondo está en dónde se descifran los valores. Vault cifra los datos antes de escribirlos en el almacenamiento, y un servidor de Vault desellado los descifra para responder a las peticiones. El servidor de Crunu nunca tiene una clave de descifrado: los valores se cifran y se descifran solo en el navegador y en el agente crunu. Esa decisión es también la razón por la que Crunu no puede hacer parte de lo que Vault hace mejor.

A quién le conviene cada uno

Vault conviene a los equipos de plataforma y de seguridad que necesitan credenciales dinámicas de bases de datos o de la nube, certificados, cifrado como servicio o integración con Kubernetes. Conviene a las organizaciones con ingenieros capaces de hacerse cargo del diseño, el despliegue, el escalado y las actualizaciones de un servicio crítico, o que contratan el servicio gestionado HCP Vault Dedicated.

Crunu conviene a los equipos que sobre todo necesitan secretos estáticos en un solo lugar, con acceso por entorno, entrega a máquinas y a la CI, y un proceso limpio cuando alguien se va. Conviene a los equipos que quieren que el servidor no pueda leer los valores y que prefieren no operar un clúster de Vault.

Comparativa punto por punto

En qué destaca Vault

• Secretos dinámicos. Vault puede crear bajo demanda un usuario de base de datos para cada servicio y revocarlo cuando vence la concesión, con un TTL por defecto de una hora y un máximo de 24 horas. Crunu guarda valores; no los genera.
• Amplitud. Los motores PKI, Transit, SSH y de credenciales de la nube cubren mucho más que los secretos estáticos. Crunu es más pequeño a propósito.
• Kubernetes. Vault incluye un chart de Helm, el Vault Secrets Operator, un proveedor CSI y un Agent Injector. Crunu no tiene integración con Kubernetes.
• Funciones para gran escala. Vault Enterprise añade espacios de nombres, replicación de rendimiento y de recuperación ante desastres, sincronización de secretos, grupos de control y políticas Sentinel.
• Opción gestionada. HCP Vault Dedicated es Vault Enterprise operado por HashiCorp en AWS o Azure. La nube de Crunu es nueva, está en acceso anticipado y no tiene ninguna auditoría externa publicada.

Qué hace Crunu de otra manera

El servidor no puede leer los secretos. En Vault no basta con proteger el backend de almacenamiento: el servidor desellado tiene la clave que descifra los datos guardados. Crunu quita esa clave del servidor. Una copia completa de su base de datos no sirve para adivinar contraseñas, porque la clave de la cuenta depende también de una Secret Key que el servidor nunca recibe. Las listas de acceso y las versiones van firmadas, así que el servidor no puede añadirse en silencio como destinatario.

Menos que operar. Un servidor de Crunu autoalojado puede ejecutarse en plataformas serverless como Cloudflare Workers con D1, o Vercel con Postgres, y también en un único host con Docker. Se traslada de una a otra con un único archivo que no contiene valores sin cifrar.

Las bajas. Dar de baja a un miembro rota las claves de todos los entornos que podía leer. El proceso de baja de miembros enumera lo que recibió y qué valores hay que reemitir en los proveedores.

Restricciones de red con demora. Una política de red del entorno solo entrega el contenido a redes permitidas. Endurecerla tiene efecto inmediato; relajarla requiere esperar 15 minutos, con una alerta, o una segunda firma. Esto lo aplica el servidor, no la criptografía, como explica la página de limitaciones de Crunu.

Cómo pasarse a Crunu

1. Crea una cuenta y guarda tu Emergency Kit.
2. Crea proyectos y entornos que sigan la organización de tus rutas de Vault.
3. En una máquina de confianza, escribe los valores estáticos que necesitas en archivos .env o INI.
4. Arrastra los archivos a cada entorno y después borra las copias sin cifrar.
5. Inscribe tus servidores como máquinas con un código de inscripción de un solo uso, y da a los pipelines tokens de servicio con vinculación OIDC.

Las credenciales dinámicas, PKI y Transit no tienen equivalente en Crunu. Si dependes de ellos, mantén Vault para esas tareas.