Crunu vs 1Password voor teamsecrets

1Password is een wachtwoordmanager met een set tools voor ontwikkelaars: service accounts, een zelfgehoste Connect-server, een CLI die secrets aan processen doorgeeft, en Environments voor projectvariabelen. Crunu is smaller: een kluis voor omgevingsvariabelen, cloudsleutels en API-sleutels, met een agent voor machines en CI-pipelines.

Beide versleutelen op je apparaten, en beide combineren het accountwachtwoord met een Secret Key die op je apparaten staat. Het inlogmodel van Crunu volgt het ontwerp uit het whitepaper over beveiliging van 1Password. De verschillen zitten in het verwijderen van mensen, het draaien van de server en het afleveren van secrets op machines.

Voor wie welk product past

1Password past bij teams die één tool willen voor logins op websites, passkeys, gedeelde wachtwoorden en secrets van ontwikkelaars. Er zijn apps voor Mac, Windows, Linux, iOS en Android, plus browserextensies. Gebruikt je bedrijf al 1Password Business met single sign-on en automatische provisioning vanuit een identityprovider, dan kunnen de secrets van ontwikkelaars in de tool blijven die je admins al beheren.

Crunu past bij engineeringteams waarvan het echte probleem .env-bestanden, ~/.aws/credentials en API-sleutels zijn die verspreid staan over laptops, chats en CI-instellingen. Crunu is gebouwd rond projecten, omgevingen, machines en pipelines, en rond de dag dat iemand het team verlaat. Het past ook bij teams die de kluisserver op hun eigen infrastructuur willen draaien.

Naast elkaar

Waar 1Password sterker is

• Breedte. 1Password dekt logins, passkeys, automatisch invullen en secrets voor ontwikkelaars, op desktop en mobiel. Crunu heeft geen mobiele apps, geen browserextensie en geen agent voor Windows.
• Koppeling met identiteitsbeheer. 1Password Business koppelt met identityproviders zoals Okta, Microsoft Entra ID en Google Workspace voor inloggen en provisioning. Crunu heeft geen SSO en geen SCIM.
• Zekerheid. 1Password zegt SOC 2 Type 2-gecertificeerd te zijn, publiceert de resultaten van onafhankelijke audits en heeft een bugbountyprogramma. Crunu is een nieuw product in vroege toegang en publiceert geen SOC 2-rapport of externe audit.
• Kubernetes en SDK’s. 1Password biedt een Kubernetes Operator, een Secrets Injector, Helm-charts en SDK’s voor Go, JavaScript en Python. Crunu heeft niets daarvan; applicaties gebruiken crunu run.
• Synchronisatie met de cloud. 1Password Environments kan variabelen synchroniseren met AWS Secrets Manager, een functie die 1Password als bèta aanduidt. Crunu heeft geen ingebouwde synchronisatie met secretopslag in de cloud.

Wat er gebeurt als iemand vertrekt

Dit is het duidelijkste verschil in ontwerp, en 1Password documenteert het openlijk. Elk lid van een kluis heeft een kopie van de kluissleutel, versleuteld voor de eigen publieke sleutel. Bij verwijdering wordt die kopie van de server gewist, stuurt de server geen kluisdata meer en krijgt de client de opdracht lokale kopieën te wissen. Het whitepaper stelt dat verwijdering niet cryptografisch wordt afgedwongen en dat sleutels niet veranderen. Wie de kluissleutel eerder heeft bewaard, kan latere items alleen lezen als die persoon ook bijgewerkte versleutelde data in handen krijgt. De maatregel die 1Password voorstelt, is items naar een nieuwe kluis te verplaatsen, die een nieuwe sleutel heeft.

Crunu roteert sleutels bij verwijdering. De server levert niets meer aan de persoon, en elke omgeving die die persoon kon lezen, krijgt een nieuwe sleutel die de persoon nooit heeft gehad. Vertrekt een beheerder, dan worden ook de ondertekenings- en herstelsleutel van de organisatie vervangen. Het offboardingproces toont welke versies de persoon heeft ontvangen en noemt de waarden om bij elke provider opnieuw uit te geven.

Geen van beide producten kan iemand laten vergeten wat die al heeft gezien. Die waarden blijven geldig tot je ze bij de provider opnieuw uitgeeft, zoals de pagina over beperkingen van Crunu uitlegt.

Overstappen op Crunu

1. Maak een account aan. Je sleutels worden in de app aangemaakt. Bewaar de Emergency Kit voordat je iets anders doet.
2. Maak een project per applicatie en een omgeving per fase, bijvoorbeeld development, staging en production.
3. Zet op een vertrouwde computer de waarden die je nodig hebt in .env-bestanden, of in INI-bestanden voor tools zoals de AWS CLI.
4. Sleep de bestanden, of mappen zoals .aws, naar de omgeving. Crunu leest KEY=VALUE-bestanden, INI-secties, platte YAML en gewone tekst.
5. Nodig je team uit en geef iedereen per omgeving een rol: Editor, Reader, Specific files of Operator.
6. Schrijf je servers in als machines en geef pipelines servicetokens. Verwijder daarna de onversleutelde bestanden die je in stap 3 hebt gemaakt.