Crunu vs 1Password per i segreti del team

1Password è un password manager con una serie di strumenti per sviluppatori: account di servizio, un server Connect self-hosted, una CLI che passa i segreti ai processi ed Environments per le variabili di progetto. Crunu ha un perimetro più ristretto: un vault per variabili d’ambiente, credenziali cloud e chiavi API, con un agente per macchine e pipeline CI.

Entrambi cifrano sui tuoi dispositivi, ed entrambi combinano la password dell’account con una Secret Key conservata sui tuoi dispositivi. Il sistema di accesso all’account di Crunu segue il design descritto nel white paper sulla sicurezza di 1Password. Le differenze stanno nella rimozione delle persone, nella gestione del server e nella consegna dei segreti alle macchine.

A chi conviene ciascuno

1Password conviene ai team che vogliono un unico strumento per i login ai siti web, le passkey, le password condivise e i segreti degli sviluppatori. Ha app per Mac, Windows, Linux, iOS e Android, oltre a estensioni per il browser. Se la tua azienda usa già 1Password Business con single sign-on e provisioning automatico da un identity provider, i segreti degli sviluppatori possono restare nello strumento che i tuoi amministratori gestiscono già.

Crunu conviene ai team di sviluppo il cui vero problema sono file .env, ~/.aws/credentials e chiavi API sparsi tra laptop, chat e impostazioni della CI. È costruito attorno a progetti, ambienti, macchine e pipeline, e attorno al giorno in cui qualcuno lascia il team. Conviene anche ai team che vogliono eseguire il server del vault sulla propria infrastruttura.

Confronto diretto

Dove 1Password è più forte

• Ampiezza. 1Password copre login, passkey, compilazione automatica e segreti degli sviluppatori su desktop e dispositivi mobili. Crunu non ha app mobili, né un’estensione per il browser, né un agente per Windows.
• Integrazione con l’identità. 1Password Business si collega a identity provider come Okta, Microsoft Entra ID e Google Workspace per l’accesso e il provisioning. Crunu non ha né SSO né SCIM.
• Verifiche esterne. 1Password dichiara di avere la certificazione SOC 2 Type 2, pubblica i risultati di audit indipendenti e gestisce un programma di bug bounty. Crunu è un prodotto nuovo in accesso anticipato e non pubblica un report SOC 2 né un audit esterno.
• Kubernetes e SDK. 1Password offre un Kubernetes Operator, un Secrets Injector, chart Helm e SDK per Go, JavaScript e Python. Crunu non ha nulla di tutto questo: le applicazioni usano crunu run.
• Sincronizzazione con il cloud. 1Password Environments può sincronizzare le variabili con AWS Secrets Manager, una funzione che 1Password indica come beta. Crunu non ha una sincronizzazione integrata con i servizi cloud per i segreti.

Cosa succede quando qualcuno se ne va

Questa è la differenza di design più netta, e 1Password la documenta con chiarezza. Ogni membro di un vault possiede una copia della chiave del vault cifrata con la propria chiave pubblica. Alla rimozione, quella copia viene cancellata dal server, il server smette di inviare i dati del vault e al client viene chiesto di cancellare le copie locali. Il white paper afferma che la rimozione non è imposta dalla crittografia e che le chiavi non vengono cambiate. Chi avesse salvato in precedenza la chiave del vault potrebbe leggere gli elementi successivi solo se ottenesse anche i dati cifrati aggiornati. La mitigazione suggerita da 1Password è spostare gli elementi in un nuovo vault, che ha una nuova chiave.

Crunu ruota le chiavi alla rimozione. Il server smette di fornire i dati alla persona, e ogni ambiente che poteva leggere riceve una nuova chiave che non ha mai avuto. Quando se ne va un amministratore, vengono sostituite anche la chiave di firma e la chiave di recupero dell’organizzazione. La procedura di rimozione dei membri mostra quali versioni ha ricevuto la persona ed elenca i valori da riemettere presso ciascun fornitore.

Nessuno dei due prodotti può far dimenticare a una persona ciò che ha già visto. Quei valori restano validi finché non li riemetti presso il fornitore, come spiega la pagina sulle limitazioni di Crunu.

Passare a Crunu

1. Crea un account. Le tue chiavi vengono create nell’app. Prima di tutto, salva l’Emergency Kit.
2. Crea un progetto per ogni applicazione e un ambiente per ogni fase, ad esempio development, staging e production.
3. Su un computer fidato, inserisci i valori che ti servono in file .env, o in file INI per strumenti come la AWS CLI.
4. Trascina i file, o cartelle come .aws, nell’ambiente. Crunu legge file KEY=VALUE, sezioni INI, YAML piatto e testo semplice.
5. Invita il tuo team e assegna a ogni persona un ruolo per ambiente: Editor, Reader, Specific files o Operator.
6. Registra i tuoi server come macchine e dai alle pipeline dei token di servizio, poi cancella i file in chiaro creati al passaggio 3.