Crunu vs .env-bestanden delen via chat en notities

De meeste teams beginnen op dezelfde manier. Iemand heeft de database-URL van staging nodig, dus plakt een collega het .env-bestand in een privébericht. Een nieuwe collega krijgt een notitie met de AWS-sleutels. Een freelancer krijgt de Stripe-sleutel in een groepschat. Het werkt, het kost niets en niemand hoeft een nieuwe tool te leren.

De problemen komen later. Dezelfde waarden staan nu in de chatgeschiedenis, in de zoekfunctie, in exports en in de notities van iedereen die ze heeft gekopieerd. Vertrekt iemand, dan kan niemand zeggen wie welke sleutel heeft gezien, en is het enige veilige antwoord alles opnieuw uitgeven. Deze pagina vergelijkt die gewoonte eerlijk met Crunu, ook waar de gewoonte goed genoeg is.

Voor wie welke aanpak past

Chat en notities passen bij een solo-ontwikkelaar of twee mensen aan een prototype zonder productiedata, met alleen testsleutels en niets te verliezen als een waarde uitlekt. Ze passen ook bij een eenmalige overdracht waarbij de waarde direct daarna opnieuw wordt uitgegeven.

Crunu past bij elk team waar productiesleutels bestaan, mensen komen en gaan, machines en CI dezelfde waarden nodig hebben, en iemand op een dag vraagt wie toegang had tot wat.

Naast elkaar

Waar chat en notities sterker zijn

• Geen instelwerk. Je team gebruikt de chatapp al. Voor Crunu is een account nodig, en er zijn geen mobiele apps.
• Niets extra’s om veilig te bewaren. Crunu voegt een Secret Key en een Emergency Kit toe aan je wachtwoord, en de server kan je wachtwoord niet resetten. Zonder het wachtwoord, de Secret Key en de herstelcode kan niemand het account openen, Crunu ook niet.
• Snel voor een eenmalige klus. Voor een testsleutel die je morgen weggooit, is een privébericht sneller dan welke kluis ook.

Waarom de gewoonte lastig terug te draaien is

Kopieën vermenigvuldigen zich. Een geplakt bestand belandt in de berichtgeschiedenis en in de zoekfunctie, en cloudchats van Telegram zijn leesbaar vanaf elk van je apparaten. In betaalde Slack-abonnementen worden berichten en bestanden bewaard zolang de workspace bestaat, tenzij een eigenaar een bewaarbeleid instelt. Een notitie die met de cloud synchroniseert, is nog een kopie bij nog een dienst.

Exports reiken verder dan de chat. Eigenaren en admins van een Slack-workspace kunnen berichten uit openbare kanalen exporteren. In de abonnementen Business+ en Enterprise zijn exports van privékanalen en privéberichten beschikbaar na een aanvraag.

Versleuteling beschermt het transport, niet de gewoonte. Slack versleutelt data onderweg en in opslag, en met de add-on Enterprise Key Management kunnen Enterprise-klanten hun eigen sleutels gebruiken. De cloudchats van Telegram worden versleuteld opgeslagen in de cloud van Telegram; alleen geheime chats zijn end-to-end en gebonden aan één apparaat. Niets hiervan beperkt wie in het gesprek de waarde kan lezen en kopiëren.

Vertrek heeft geen nette oplossing. Volgens de richtlijnen van OWASP moeten blootgestelde sleutels direct worden ingetrokken en mogen secrets nooit voor iedereen opvraagbaar zijn. Vertrekt een collega die in de chat zat, dan is de veilige aanname dat elke sleutel daarin is blootgesteld.

Hoe Crunu dezelfde momenten afhandelt

• Nieuwe collega. Nodig de persoon uit en geef een toegangsprofiel, bijvoorbeeld Editor op development en staging zonder production.
• Freelancer zonder account. Stuur een deellink naar geselecteerde bestanden met een vervaldatum, een limiet op weergaven of een wachtwoord. De sleutel om te ontsleutelen zit in de link na de # en wordt nooit naar de server gestuurd. Een linkvoorbeeld in een messenger verbruikt de link niet; die gaat pas open als iemand op Open klikt.
• Server of pipeline. Schrijf de server in als machine of maak een servicetoken dat via OIDC aan één repository en branch is gebonden.
• Iemand vertrekt. Het offboardingproces roteert omgevingssleutels, trekt de tokens en links van de persoon in en noemt de waarden om opnieuw uit te geven bij providers.

Crunu kan niemand een waarde laten vergeten die al is gezien. Opnieuw uitgeven bij de provider blijft daarvoor de oplossing, zoals de pagina over beperkingen uitlegt.

Overstappen op Crunu

1. Maak een account aan en bewaar je Emergency Kit.
2. Maak een project per applicatie, met de omgevingen development, staging en production.
3. Sleep je .env-bestanden, of mappen zoals .aws, naar elke omgeving. Crunu leest KEY=VALUE-bestanden, INI-secties, platte YAML en gewone tekst. Persoonlijke sleutels zoals ~/.aws/credentials horen in je persoonlijke project.
4. Nodig het team uit en stel rollen per omgeving in.
5. Verwijder de oude berichten en notities met secrets, en geef elke productiesleutel die ooit in een chat is geplakt opnieuw uit bij de provider.