Crunu vs file .env inviati in chat e nelle note

La maggior parte dei team comincia allo stesso modo. Qualcuno ha bisogno dell’URL del database di staging, e un collega incolla il file .env in un messaggio diretto. Chi è appena stato assunto riceve una nota con le chiavi AWS. Un collaboratore esterno riceve la chiave di Stripe in una chat di gruppo. Funziona, non costa nulla e nessuno deve imparare uno strumento nuovo.

Il problema si presenta dopo. Gli stessi valori ora vivono nella cronologia della chat, nella ricerca, negli export e nelle note di chi li ha copiati. Quando qualcuno se ne va, nessuno sa dire chi ha visto quale chiave, e l’unica risposta sicura è riemettere tutto. Questa pagina confronta onestamente quell’abitudine con Crunu, compresi i casi in cui l’abitudine basta.

A chi conviene ciascun approccio

Chat e note convengono a chi sviluppa da solo o a due persone su un prototipo senza dati di produzione, solo con chiavi di test e niente da perdere se un valore trapela. Convengono anche per un passaggio una tantum, quando il valore verrà riemesso subito dopo.

Crunu conviene a qualsiasi team in cui esistono chiavi di produzione, le persone entrano ed escono, macchine e CI hanno bisogno degli stessi valori, e un giorno qualcuno chiederà chi aveva accesso a cosa.

Confronto diretto

Dove chat e note sono più forti

• Nessuna configurazione. Il tuo team usa già l’app di chat. Crunu richiede un account e non ha app mobili.
• Niente in più da custodire. Crunu aggiunge una Secret Key e un Emergency Kit alla tua password, e il suo server non può reimpostare la password. Senza la password, la Secret Key e il codice di recupero nessuno può aprire l’account, nemmeno Crunu.
• Rapidità nei casi isolati. Per una chiave di test che butterai domani, un messaggio diretto è più rapido di qualsiasi vault.

Perché è difficile rimediare

Le copie si moltiplicano. Un file incollato finisce nella cronologia dei messaggi e nella ricerca, e le chat cloud di Telegram sono leggibili da qualsiasi tuo dispositivo. Nei piani a pagamento di Slack, messaggi e file vengono conservati per tutta la vita del workspace, a meno che un proprietario non imposti una policy di conservazione. Una nota sincronizzata nel cloud è un’altra copia su un altro servizio.

Gli export arrivano più lontano della chat. I proprietari e gli admin di un workspace Slack possono esportare i messaggi dei canali pubblici. Nei piani Business+ ed Enterprise, l’esportazione di canali privati e messaggi diretti è disponibile previa richiesta.

La cifratura protegge il trasporto, non l’abitudine. Slack cifra i dati in transito e a riposo, e il suo componente aggiuntivo Enterprise Key Management permette ai clienti Enterprise di usare le proprie chiavi. Le chat cloud di Telegram sono conservate cifrate nel suo cloud; solo le chat segrete sono end-to-end e legate a un solo dispositivo. Niente di tutto questo limita chi, nella conversazione, può leggere e copiare il valore.

Quando qualcuno se ne va, non c’è una soluzione pulita. Le linee guida OWASP dicono che le chiavi esposte vanno revocate immediatamente e che i segreti non devono mai essere recuperabili da chiunque. Quando se ne va un collega che era nella chat, l’ipotesi sicura è che ogni chiave lì dentro sia esposta.

Come gestisce Crunu le stesse situazioni

• Nuovo collega. Invita la persona e assegnale un profilo di accesso, per esempio Editor su development e staging senza production.
• Collaboratore esterno senza account. Invia un link di condivisione a file selezionati con una scadenza, un limite di visualizzazioni o una password. La chiave di decifratura sta nel link dopo il # e non viene mai inviata al server. L’anteprima di un’app di messaggistica non consuma il link: si apre solo quando qualcuno clicca su «Open».
• Server o pipeline. Registra il server come macchina o crea un token di servizio legato tramite OIDC a un repository e a un branch.
• Qualcuno se ne va. La procedura di rimozione dei membri ruota le chiavi degli ambienti, revoca i token e i link della persona ed elenca i valori da riemettere presso i fornitori.

Crunu non può far dimenticare a nessuno un valore che ha già visto. Per questo la soluzione resta riemetterlo presso il fornitore, come spiega la pagina sulle limitazioni.

Passare a Crunu

1. Crea un account e salva il tuo Emergency Kit.
2. Crea un progetto per ogni applicazione, con gli ambienti development, staging e production.
3. Trascina i tuoi file .env, o cartelle come .aws, in ciascun ambiente. Crunu legge file KEY=VALUE, sezioni INI, YAML piatto e testo semplice. Le chiavi personali come ~/.aws/credentials vanno nel tuo progetto personale.
4. Invita il team e imposta i ruoli per ambiente.
5. Cancella i vecchi messaggi e le note che contenevano segreti, e riemetti presso il fornitore ogni chiave di produzione che sia mai stata incollata in chat.