Dove finisce la protezione di Crunu
Cifrare sui tuoi dispositivi significa che il server non può leggere i tuoi segreti. Non significa che ogni rischio sparisca. Ecco ogni limite che conosciamo, preso dal modello delle minacce del prodotto stesso, e cosa fare per ciascuno.
Cosa la cifratura sui tuoi dispositivi non può impedire
Crunu decifra sui tuoi dispositivi, quindi chi controlla un dispositivo, o la pagina che vi gira, può vedere ciò che quel dispositivo decifra. E la cifratura non può nemmeno cancellare ciò che qualcuno ha già visto.
- Una pagina manomessa potrebbe catturare la password e la Secret Key.La pagina di app.crunu.com arriva dal server, quindi un server violato o gestito in malafede potrebbe inviarne una che registra ciò che digiti. A ogni caricamento l’app si verifica rispetto al manifest firmato di Crunu, ma quella verifica gira dentro la stessa pagina. Su app.crunu.com, per questo ti affidi a Crunu e al suo hosting; su un tuo server, a chi lo gestisce. Cosa fare: se l’app avvisa «Build signature doesn’t match: do not enter your password», non inserirla, e gestisci un tuo server se la pagina deve arrivare da un’infrastruttura che controlli.
- Ciò che qualcuno ha visto non si può cancellare.Rimuovere una persona o revocare una macchina ruota le chiavi, così non può leggere nulla di nuovo. I valori che ha già visto continuano a funzionare ovunque siano validi. Cosa fare: esegui «Remove from organization», segui la checklist di riemissione e riemetti ogni valore presso il relativo fornitore, partendo da dove conta di più.
- Chi controlla un dispositivo o una macchina vede ciò che decifra.Un malware, un’estensione del browser o l’accesso root al tuo computer possono leggere ciò che vi viene decifrato. Chi ha root su una macchina con l’agente vede tutto ciò che le viene consegnato, e un programma in esecuzione mantiene le sue variabili fino al riavvio. Cosa fare: usa dispositivi che controlli, dai alle macchine solo ciò che eseguono e, dopo una compromissione, usa «Device compromised» o revoca la macchina, poi riemetti i suoi valori.
Cosa può ancora fare il server
Su app.crunu.com il server lo gestisce Crunu; su un tuo server, chi lo amministra. In entrambi i casi, questi limiti valgono anche per chiunque riesca a violarlo. Il server non può leggere i tuoi ambienti, ma non è impotente.
- Vede i metadati.Il server legge i nomi di organizzazioni, progetti, ambienti, macchine e persone, gli indirizzi email, il registro di audit, chi ha ricevuto quale versione e da dove, l’ora e la dimensione di ogni versione. Niente di ciò che c’è dentro un ambiente, nemmeno i nomi delle variabili o dei file. Cosa fare: tieni i segreti fuori dai nomi. Un progetto che porta il nome di un accordo non ancora annunciato rivela l’accordo al server.
- Può rifiutare il servizio o scartare le scritture.Un server può smettere di rispondere, o sostenere di non aver mai ricevuto una modifica, e la cifratura non può obbligarlo a servirti. Cosa fare: scarica di tanto in tanto una copia offline. Si apre con la password e la Secret Key, senza alcun server. Su un tuo server, esporta il database ogni giorno. Durante l’accesso anticipato, app.crunu.com non ha alcun impegno di disponibilità.
- Potrebbe mostrare a un nuovo dispositivo una vecchia versione della tua organizzazione.I tuoi dispositivi rifiutano qualsiasi stato più vecchio di quello che hanno accettato, ma un dispositivo che non hai mai usato non ha nulla con cui fare il confronto. Un server compromesso, in combutta con qualcuno che hai rimosso, potrebbe mostrargli la tua organizzazione com’era prima della rimozione. Crunu non può chiudere del tutto questa possibilità senza una fonte esterna di aggiornamento. Cosa fare: su un nuovo dispositivo, usa «Compare» con gli altri tuoi dispositivi in «Organization settings» e, se i numeri non coincidono, non salvare nulla da lì e avvisa un Owner.
- Le regole di rete sono regole del server, non cifratura.Un server compromesso può ignorare una restrizione IP. Tutti quelli dietro lo stesso NAT o proxy condividono un indirizzo, quindi contano tutti come interni, e i contenuti consegnati prima di una restrizione restano dove sono arrivati. Cosa fare: usa le regole di rete in aggiunta ad accessi ristretti, lega i token CI con OIDC invece di affidarti agli intervalli IP dei runner e, dopo aver ristretto una regola, riemetti i valori già usciti.
Il recupero ha limiti netti
Poiché il server non possiede mai la tua password né la tua Secret Key, nessuno può reimpostarle al posto tuo. Le vie per rientrare spetta a te custodirle, e aprono più di quanto potresti pensare.
- Nessuno può reimpostare la tua password.Se perdi la password, la Secret Key e il codice di recupero, nessuno può aprire il tuo account, nemmeno noi. Se tutti gli Owner e gli Admin perdono l’accesso, non resta nessuno a gestire l’organizzazione. Cosa fare: stampa l’Emergency Kit e tienilo lontano dai tuoi dispositivi, crea un codice di recupero e mantieni almeno due Owner o Admin.
- Un codice di recupero salta il secondo fattore.Apre il tuo account dopo un periodo di attesa, un’ora per impostazione predefinita. È il server a gestire l’attesa e a inviare l’avviso, quindi un server compromesso, d’accordo con qualcuno che ha il tuo codice, potrebbe concedere l’accesso subito. Cosa fare: conserva il codice separato dall’Emergency Kit e dai tuoi dispositivi e, se ricevi un avviso su un recupero che non hai avviato, annullalo e cancella il codice.
- Owner e Admin possono aprire gli ambienti condivisi.Ogni chiave di un ambiente condiviso è sigillata anche con la chiave di recupero dell’organizzazione, che possiedono Owner e Admin. Finché il recupero degli ambienti personali è attivo, come per impostazione predefinita, possono aprire anche gli ambienti personali dei membri. Cosa fare: riserva quei ruoli alle poche persone che gestiscono l’organizzazione. Un Owner può disattivare il recupero degli ambienti personali, ma allora un account perso perde i suoi ambienti personali.
- Un dispositivo rubato contiene la tua Secret Key.Per impostazione predefinita il browser conserva la Secret Key, così non devi digitarla a ogni accesso, e l’unica barriera che resta è la password. Cosa fare: usa una password robusta e usata solo per Crunu, tieni breve il blocco per inattività e, da un altro dispositivo, rimuovi quello rubato o usa «Device compromised».
Se gestisci un tuo server
Questi limiti riguardano chi gestisce il server. Su app.crunu.com, è Crunu. Uno di essi tocca i tuoi dispositivi su qualsiasi server, app.crunu.com compreso: ripristinare il database da un backup annulla ogni modifica successiva.
- Senza email, gli indirizzi degli inviti non vengono confermati.Un server senza email configurata non può inviare un codice per confermare l’indirizzo di un invito, quindi qualcuno potrebbe usare un indirizzo che non è suo. Il confronto dell’impronta tiene comunque fuori la chiave di un estraneo. app.crunu.com ha l’email configurata. Cosa fare: imposta
RESEND_API_KEYeALERT_EMAIL_FROMprima di invitare persone esterne al tuo team, e confronta sempre l’impronta. SERVER_KEYè il segreto del server stesso.Firma sessioni, link di condivisione e inviti e cifra i segreti delle app di autenticazione, ma non i tuoi ambienti. Perderla disconnette tutti e rende inutilizzabili i link di condivisione. Se trapela insieme a una copia del database, indebolisce i codici delle app di autenticazione. Cosa fare: conserva il file.envin un password manager, separato dai backup, e ruota la chiave con la procedura documentata.- Un ripristino riporta tutto indietro.Ripristinare un backup annulla ogni modifica successiva, e i dispositivi che hanno visto dati più recenti segnalano un ritorno a uno stato precedente e rifiutano quegli ambienti finché il loro stato salvato non viene azzerato. Cosa fare: esegui un backup ogni giorno, azzera agenti e browser solo dopo un ripristino che hai eseguito tu, e considera un campanello d’allarme un avviso di ritorno a uno stato precedente senza ripristino.
- Scegli con cura indirizzo e piattaforma.Le firme di accesso, i link di condivisione, le passkey e gli agenti sono legati all’indirizzo del server, quindi non può cambiare in seguito. Su Cloudflare Workers gratuito una richiesta ha 10 ms di tempo CPU, e su Google Cloud Run e AWS App Runner alcuni avvisi arrivano in ritardo. AWS ha chiuso App Runner ai nuovi clienti. Cosa fare: usa un dominio che terrai, Workers Paid per un team e una piattaforma con uno scheduler se quegli avvisi contano.
Non presente in Crunu, per scelta o per ora
Alcune cose Crunu non le fa. Una non la farà mai, perché richiederebbe chiavi sul server. Le altre mancano oggi, quindi tienine conto nei tuoi piani.
- Nessun segreto dinamico.Crunu non crea su richiesta password temporanee per i database o credenziali cloud. Servirebbero chiavi sul server, cioè proprio ciò che Crunu è progettato per non avere, e questo non cambierà. Cosa fare: usa le credenziali temporanee del tuo fornitore dove le offre.
- Nessuna riemissione automatica presso i fornitori.In Crunu la rotazione cambia le chiavi di cifratura. I valori stessi si riemettono a mano presso ciascun fornitore, partendo dalla checklist di riemissione. Cosa fare: riemetti periodicamente le credenziali di lunga durata e salva ogni nuovo valore come nuova versione.
- Nessun accesso a tempo per le persone.L’accesso a un ambiente non ha una data di scadenza. La scadenza esiste per inviti, link di condivisione, token di servizio, lease delle macchine e accessi break-glass. Cosa fare: rivedi chi ha accesso a production quando le persone cambiano ruolo, e usa un link di condivisione con scadenza per le esigenze occasionali.
Domande su questi limiti
Il personale di Crunu può leggere i miei segreti?
No. Su app.crunu.com il server lo gestisce Crunu, e il server ha solo testo cifrato e nessuna chiave per decifrarlo. Possiamo vedere metadati come nomi, indirizzi email e il registro di audit, elencati nell’Informativa sulla privacy. Per arrivare ai tuoi valori bisognerebbe modificare il codice che gira sul tuo dispositivo, che è il primo limite di questa pagina.
Gestire un mio server elimina questi limiti?
Alcuni passano a te. Decidi tu chi gestisce il server che invia la pagina web e vede i metadati, e ti fai carico dei limiti descritti in «Se gestisci un tuo server». I limiti sui tuoi dispositivi restano gli stessi.
Perché non potete reimpostare la mia password?
La chiave del tuo account viene derivata sul tuo dispositivo dalla password e dalla Secret Key, e noi non riceviamo mai né l’una né l’altra. È questo che rende i tuoi dati illeggibili per noi. L’Emergency Kit e un codice di recupero sono le vie per rientrare.
Cosa dobbiamo fare per prima cosa quando qualcuno se ne va?
Rimuovi la persona dall’organizzazione. Crunu smette di fornirle i dati e ruota ogni chiave che aveva. Poi segui la checklist di riemissione e riemetti presso ciascun fornitore i valori che ha visto.
Crunu aggiungerà i segreti dinamici?
No. Creare credenziali su richiesta richiede chiavi sul server, e Crunu è progettato perché il server non le abbia mai.
Hai trovato un limite che non è in questa pagina?
Scrivi a security@crunu.com. Preferiamo elencarlo qui piuttosto che lo scopra a tue spese.
Metti i segreti del tuo team dove il server non può leggerli
Crea il tuo account su app.crunu.com. Le tue chiavi vengono create nel browser, e il server riceve solo testo cifrato.