Dónde termina la protección de Crunu
Cifrar en tus dispositivos significa que el servidor no puede leer tus secretos. No hace desaparecer todos los riesgos. Aquí está cada límite que conocemos, tomado del propio modelo de amenazas del producto, y qué hacer con cada uno.
Lo que el cifrado en tus dispositivos no puede impedir
Crunu descifra en tus dispositivos, así que quien controle un dispositivo, o la página que se ejecuta en él, puede ver lo que ese dispositivo descifra. El cifrado tampoco puede deshacer lo que alguien ya vio.
- Una página manipulada podría capturar tu contraseña y tu Secret Key.La página de app.crunu.com la envía el servidor, así que un servidor vulnerado u operado de mala fe podría enviar una que registre lo que escribes. La app se comprueba a sí misma con el manifiesto firmado de Crunu cada vez que se carga, pero esa comprobación se ejecuta dentro de la misma página. En app.crunu.com, en esto confías en Crunu y en su alojamiento; en tu propio servidor, en quien lo opere. Qué hacer: si la app avisa «Build signature doesn’t match: do not enter your password», no la introduzcas, y ejecuta tu propio servidor si la página tiene que venir de una infraestructura que controlas.
- Lo que alguien ya vio no se puede deshacer.Dar de baja a una persona o revocar una máquina rota las claves, así que no puede leer nada nuevo. Los valores que ya vio siguen funcionando allí donde sean válidos. Qué hacer: ejecuta «Remove from organization», recorre la lista de reemisión y reemite cada valor en su proveedor, empezando por donde más importa.
- Quien controla un dispositivo o una máquina ve lo que descifra.El malware, una extensión del navegador o root en tu computadora pueden leer lo que se descifra en ella. Root en una máquina con el agente ve todo lo que se le entrega, y un programa en ejecución conserva sus variables hasta que se reinicia. Qué hacer: usa dispositivos que controles, da a las máquinas solo lo que ejecutan y, tras un compromiso, usa «Device compromised» o revoca la máquina, y después reemite sus valores.
Lo que el servidor todavía puede hacer
En app.crunu.com, el servidor lo opera Crunu; en tu propio servidor, quien lo administre. En ambos casos, estos límites también se aplican a cualquiera que entre en él. El servidor no puede leer tus entornos, pero no está indefenso.
- Ve metadatos.El servidor lee los nombres de organizaciones, proyectos, entornos, máquinas y personas, las direcciones de correo, el registro de auditoría, quién recibió qué versión y desde dónde, y la hora y el tamaño de cada versión. Nada de lo que hay dentro de un entorno, ni siquiera los nombres de las variables o de los archivos. Qué hacer: no pongas secretos en los nombres. Un proyecto con el nombre de un acuerdo aún no anunciado le cuenta al servidor ese acuerdo.
- Puede negarse a dar servicio o descartar escrituras.Un servidor puede dejar de responder o afirmar que nunca recibió un cambio, y el cifrado no puede obligarlo a atenderte. Qué hacer: descarga de vez en cuando una copia sin conexión. Se abre con tu contraseña y tu Secret Key, sin ningún servidor. En tu propio servidor, exporta la base de datos a diario. Durante el acceso anticipado, app.crunu.com no tiene ningún compromiso de disponibilidad.
- Podría mostrar a un dispositivo nuevo una vista antigua de tu organización.Tus dispositivos rechazan cualquier estado anterior al que ya aceptaron, pero un dispositivo que nunca has usado no tiene con qué comparar. Un servidor comprometido, en connivencia con alguien a quien diste de baja, podría mostrarle tu organización tal como estaba antes de la baja. Crunu no puede cerrar esto del todo sin una fuente externa que confirme qué es lo más reciente. Qué hacer: en un dispositivo nuevo, usa «Compare with your other devices» en «Organization settings» y, si los números no coinciden, no guardes nada desde él y avisa a un propietario.
- Las reglas de red son reglas del servidor, no cifrado.Un servidor comprometido puede ignorar una restricción de IP. Todos los que están detrás del mismo NAT o proxy comparten una dirección, así que todos cuentan como dentro, y el contenido entregado antes de una restricción se queda donde llegó. Qué hacer: usa las reglas de red además de un acceso acotado, vincula los tokens de CI con OIDC en lugar de confiar en los rangos de IP de los runners y, después de endurecer una regla, reemite los valores que ya salieron.
La recuperación tiene aristas
Como el servidor nunca tiene tu contraseña ni tu Secret Key, nadie puede restablecerlas por ti. Las vías para volver a entrar las guardas tú, y abren más de lo que quizá esperas.
- Nadie puede restablecer tu contraseña.Si pierdes tu contraseña, tu Secret Key y tu código de recuperación, nadie puede abrir tu cuenta, tampoco nosotros. Si todos los propietarios y administradores pierden el acceso, no queda nadie para administrar la organización. Qué hacer: imprime el Emergency Kit y guárdalo lejos de tus dispositivos, crea un código de recuperación y mantén al menos dos propietarios o administradores.
- Un código de recuperación omite tu segundo factor.Abre tu cuenta tras un periodo de espera, una hora por defecto. El servidor gestiona la espera y envía la alerta, así que un servidor comprometido, en connivencia con alguien que tenga tu código, podría dar acceso al instante. Qué hacer: guarda el código separado de tu Emergency Kit y de tus dispositivos y, si recibes una alerta de una recuperación que no iniciaste, cancélala y elimina el código.
- Los propietarios y administradores pueden abrir los entornos compartidos.Cada clave de un entorno compartido también se sella con la clave de recuperación de la organización, que tienen los propietarios y administradores. Mientras la recuperación de entornos personales esté activada, que es lo predeterminado, también pueden abrir los entornos personales de los miembros. Qué hacer: reserva esos roles a las pocas personas que dirigen la organización. Un propietario puede desactivar la recuperación de entornos personales, pero entonces una cuenta perdida pierde sus entornos personales.
- Un dispositivo robado contiene tu Secret Key.Por defecto, tu navegador guarda la Secret Key para que no tengas que escribirla en cada inicio de sesión, lo que deja tu contraseña como la barrera que queda. Qué hacer: usa una contraseña robusta y exclusiva para Crunu, mantén corto el bloqueo por inactividad y, desde otro dispositivo, elimina el robado o usa «Device compromised».
Si ejecutas tu propio servidor
Estos puntos son para quien opera el servidor. En app.crunu.com, ese es Crunu. Uno de ellos afecta a tus dispositivos en cualquier servidor, también en app.crunu.com: restaurar la base de datos desde una copia de seguridad deshace todos los cambios posteriores a ella.
- Sin correo, las direcciones de las invitaciones no se confirman.Un servidor sin correo configurado no puede enviar un código para confirmar la dirección de una invitación, así que alguien podría quedarse con una dirección que no es suya. La comprobación de la huella sigue impidiendo que entre la clave de un desconocido. app.crunu.com tiene el correo configurado. Qué hacer: define
RESEND_API_KEYyALERT_EMAIL_FROMantes de invitar a personas de fuera de tu equipo, y comprueba siempre la huella. SERVER_KEYes el secreto propio del servidor.Firma las sesiones, los enlaces de acceso y las invitaciones, y cifra los secretos de las apps de autenticación, pero no tus entornos. Si se pierde, se cierran todas las sesiones y dejan de funcionar los enlaces de acceso. Si se filtra junto con una copia de la base de datos, debilita los códigos de las apps de autenticación. Qué hacer: guarda el archivo.enven un gestor de contraseñas, separado de las copias de seguridad, y rota la clave con el procedimiento documentado.- Una restauración lo devuelve todo atrás.Restaurar una copia de seguridad deshace todos los cambios posteriores, y los dispositivos que vieron datos más recientes avisan de una vuelta atrás y rechazan esos entornos hasta que se restablece su estado guardado. Qué hacer: haz copias de seguridad a diario, restablece los agentes y los navegadores solo después de una restauración que hayas hecho tú, y trata como señal de alarma un aviso de vuelta atrás sin restauración.
- Elige con cuidado la dirección y la plataforma.Las firmas de inicio de sesión, los enlaces de acceso, las llaves de acceso y los agentes están ligados a la dirección del servidor, así que no se puede cambiar más adelante. En el plan gratuito de Cloudflare Workers, cada petición tiene 10 ms de CPU, y en Google Cloud Run y AWS App Runner algunas alertas llegan con retraso. AWS ha cerrado App Runner a nuevos clientes. Qué hacer: usa un dominio que vayas a conservar, Workers Paid para un equipo y una plataforma con programador de tareas si esas alertas te importan.
Lo que Crunu no tiene, por diseño o por ahora
Hay cosas que Crunu no hace. Una no la hará nunca, porque necesitaría claves en el servidor. Las demás faltan hoy, así que planifica en torno a ellas.
- Sin secretos dinámicos.Crunu no crea bajo demanda contraseñas de base de datos ni credenciales de la nube de corta duración. Eso necesita claves en el servidor, justo lo que Crunu está construido para no tener, y no va a cambiar. Qué hacer: usa las credenciales de corta duración de tu proveedor allí donde las ofrezca.
- Sin reemisión automática en los proveedores.La rotación en Crunu cambia las claves de cifrado. Los valores en sí se reemiten a mano en cada proveedor, a partir de la lista de reemisión. Qué hacer: reemite periódicamente las credenciales de larga duración y guarda cada valor nuevo como una versión nueva.
- Sin acceso temporal para personas.El acceso a un entorno no tiene fecha de caducidad. La caducidad existe para las invitaciones, los enlaces de acceso, los tokens de servicio, las concesiones de las máquinas y el acceso de emergencia (break-glass). Qué hacer: revisa quién tiene acceso a production cuando alguien cambia de rol, y usa un enlace de acceso con caducidad para las necesidades puntuales.
Preguntas sobre estos límites
¿Puede el personal de Crunu leer mis secretos?
No. En app.crunu.com, Crunu opera el servidor, y el servidor solo tiene datos cifrados y ninguna clave para descifrarlos. Podemos ver metadatos como nombres, direcciones de correo y el registro de auditoría, enumerados en la Política de privacidad. Llegar a tus valores exigiría cambiar el código que se ejecuta en tu dispositivo, que es el primer límite de esta página.
¿Ejecutar mi propio servidor elimina estos límites?
Algunos pasan a ser responsabilidad tuya. Tú decides quién opera el servidor que envía la página web y ve los metadatos, y asumes los límites de «Si ejecutas tu propio servidor». Los límites de tus dispositivos siguen siendo los mismos.
¿Por qué no pueden restablecer mi contraseña?
La clave de tu cuenta se deriva en tu dispositivo a partir de tu contraseña y tu Secret Key, y nosotros nunca recibimos ninguna de las dos. Eso es lo que hace que tus datos sean ilegibles para nosotros. Tu Emergency Kit y un código de recuperación son las vías para volver a entrar.
¿Qué debemos hacer primero cuando alguien se va?
Darlo de baja de la organización. Crunu deja de entregarle datos y rota todas las claves que tenía. Después, recorre la lista de reemisión y reemite en cada proveedor los valores que vio.
¿Añadirá Crunu secretos dinámicos?
No. Crear credenciales bajo demanda necesita claves en el servidor, y Crunu está construido para que el servidor nunca las tenga.
¿Has encontrado un límite que no está en esta página?
Escribe a security@crunu.com. Preferimos que figure aquí a que lo descubras por las malas.
Pon los secretos de tu equipo donde el servidor no pueda leerlos
Crea tu cuenta en app.crunu.com. Tus claves se crean en tu navegador y el servidor solo recibe datos cifrados.