Crunu vs HashiCorp Vault pour les secrets d’équipe

HashiCorp Vault est une plateforme de secrets généraliste. Il stocke des secrets statiques, génère des identifiants à la demande, émet des certificats et propose du chiffrement en tant que service, le tout encadré par des politiques et de nombreuses méthodes d’authentification. Crunu fait une partie de ce travail : les secrets statiques d’une équipe, c’est-à-dire les fichiers .env, les identifiants cloud et les clés d’API, organisés par projet et par environnement.

La différence de fond tient au lieu du déchiffrement. Vault chiffre les données avant de les écrire dans le stockage, et un serveur Vault descellé les déchiffre pour répondre aux requêtes. Le serveur de Crunu ne détient jamais de clé de déchiffrement : les valeurs sont chiffrées et déchiffrées uniquement dans le navigateur et dans l’agent crunu. C’est aussi ce choix qui empêche Crunu de faire une partie de ce que Vault fait le mieux.

À qui s’adresse chaque outil

Vault convient aux équipes plateforme et sécurité qui ont besoin d’identifiants dynamiques pour les bases de données ou le cloud, de certificats, de chiffrement en tant que service ou d’une intégration Kubernetes. Il convient aux organisations dotées d’ingénieurs capables d’assumer la conception, le déploiement, la montée en charge et les mises à jour d’un service critique, ou qui achètent l’offre gérée HCP Vault Dedicated.

Crunu convient aux équipes qui ont surtout besoin de secrets statiques au même endroit, avec un accès par environnement, une livraison aux machines et à la CI, et un processus propre quand quelqu’un part. Il convient aux équipes qui veulent un serveur incapable de lire les valeurs, et qui préfèrent ne pas exploiter un cluster Vault.

Côte à côte

Là où Vault a l’avantage

• Secrets dynamiques. Vault peut créer à la demande un utilisateur de base de données pour chaque service et le révoquer à la fin du bail, avec un TTL par défaut d’une heure et un maximum de 24 heures. Crunu stocke des valeurs ; il n’en fabrique pas.
• Étendue. Les moteurs PKI, Transit, SSH et d’identifiants cloud couvrent bien plus que les secrets statiques. Crunu est volontairement plus restreint.
• Kubernetes. Vault fournit un chart Helm, le Vault Secrets Operator, un fournisseur CSI et un Agent Injector. Crunu n’a pas d’intégration Kubernetes.
• Fonctions pour les grandes organisations. Vault Enterprise ajoute les namespaces, la réplication de performance et de reprise après sinistre, la synchronisation des secrets, les control groups et les politiques Sentinel.
• Offre gérée. HCP Vault Dedicated, c’est Vault Enterprise exploité par HashiCorp sur AWS ou Azure. Le cloud de Crunu est récent, en accès anticipé, et n’a publié aucun audit externe.

Ce que Crunu fait autrement

Le serveur ne peut pas lire les secrets. Avec Vault, protéger le backend de stockage ne suffit pas : le serveur descellé détient la clé qui déchiffre les données stockées. Crunu retire cette clé du serveur. Une copie complète de sa base de données ne sert pas à deviner des mots de passe, car la clé du compte dépend aussi d’une Secret Key que le serveur ne reçoit jamais. Les listes d’accès et les versions sont signées, si bien que le serveur ne peut pas s’ajouter discrètement comme destinataire.

Moins de choses à exploiter. Un serveur Crunu auto-hébergé peut tourner sur des plateformes serverless comme Cloudflare Workers avec D1, ou Vercel avec Postgres, aussi bien que sur un simple hôte Docker. Il passe de l’une à l’autre avec une seule archive qui ne contient aucune valeur en clair.

Les départs. Retirer un membre renouvelle les clés de chaque environnement que la personne pouvait lire. La procédure de départ d’un membre liste ce qu’elle a reçu et les valeurs à réémettre chez les fournisseurs.

Des restrictions réseau avec délai. Une politique réseau d’environnement ne sert le contenu qu’aux réseaux autorisés. Le durcissement est immédiat ; l’assouplissement attend 15 minutes avec une alerte, ou demande une seconde signature. C’est le serveur qui l’applique, pas la cryptographie, comme l’explique la page des limites de Crunu.

Passer à Crunu

1. Créez un compte et enregistrez votre Emergency Kit.
2. Créez des projets et des environnements qui reprennent l’organisation de vos chemins Vault.
3. Sur une machine de confiance, écrivez les valeurs statiques dont vous avez besoin dans des fichiers .env ou INI.
4. Glissez les fichiers dans chaque environnement, puis supprimez les copies en clair.
5. Enrôlez vos serveurs comme machines avec un code d’enrôlement à usage unique, et donnez aux pipelines des jetons de service avec liaison OIDC.

Les identifiants dynamiques, la PKI et Transit n’ont pas d’équivalent dans Crunu. Si vous en dépendez, gardez Vault pour ces usages.