Crunu vs HashiCorp Vault voor teamsecrets

HashiCorp Vault is een breed inzetbaar platform voor secrets. Het bewaart statische secrets, maakt toegangsgegevens op aanvraag aan, geeft certificaten uit en biedt versleuteling als dienst, met policy’s en veel authenticatiemethoden eromheen. Crunu doet één deel van dat werk: statische secrets voor een team, dus .env-bestanden, cloudsleutels en API-sleutels, geordend per project en omgeving.

Het diepere verschil is waar waarden worden ontsleuteld. Vault versleutelt data voordat die naar de opslag gaat, en een Vault-server die unsealed is, ontsleutelt die om verzoeken te beantwoorden. De server van Crunu heeft nooit een sleutel om te ontsleutelen: waarden worden alleen in de browser en in de agent crunu versleuteld en ontsleuteld. Die keuze is ook de reden dat Crunu een deel van wat Vault het beste doet niet kan.

Voor wie welk product past

Vault past bij platform- en securityteams die dynamische toegangsgegevens voor databases of de cloud nodig hebben, of certificaten, versleuteling als dienst of integratie met Kubernetes. Het past bij organisaties met engineers die eigenaar kunnen zijn van ontwerp, uitrol, schaling en upgrades van een kritieke dienst, of die het beheerde HCP Vault Dedicated afnemen.

Crunu past bij teams die vooral statische secrets op één plek nodig hebben, met toegang per omgeving, aflevering op machines en in CI, en een net proces als iemand vertrekt. Het past bij teams die willen dat de server waarden niet kan lezen, en die liever geen Vault-cluster beheren.

Naast elkaar

Waar Vault sterker is

• Dynamische secrets. Vault kan op aanvraag voor elke dienst een databasegebruiker aanmaken en die intrekken als de lease afloopt, met een standaard-TTL van één uur en een maximum van 24 uur. Crunu bewaart waarden; het maakt ze niet aan.
• Breedte. Engines voor PKI, Transit, SSH en cloudtoegangsgegevens dekken veel meer dan statische secrets. Crunu is bewust kleiner.
• Kubernetes. Vault levert een Helm-chart, de Vault Secrets Operator, een CSI-provider en een Agent Injector. Crunu heeft geen integratie met Kubernetes.
• Functies voor schaal. Vault Enterprise voegt namespaces toe, replicatie voor prestaties en disaster recovery, synchronisatie van secrets, control groups en Sentinel-policy’s.
• Beheerde optie. HCP Vault Dedicated is Vault Enterprise, beheerd door HashiCorp op AWS of Azure. De cloud van Crunu is nieuw, in vroege toegang, en er is geen externe audit gepubliceerd.

Wat Crunu anders doet

De server kan secrets niet lezen. Bij Vault is het niet genoeg om de opslagbackend te beschermen: de server die unsealed is, heeft de sleutel die opgeslagen data ontsleutelt. Crunu haalt die sleutel weg van de server. Een volledige kopie van de database helpt niet bij het raden van wachtwoorden, omdat de accountsleutel ook afhangt van een Secret Key die de server nooit ontvangt. Toegangslijsten en versies zijn ondertekend, dus de server kan zichzelf niet ongemerkt als ontvanger toevoegen.

Minder om te draaien. Een zelfgehoste Crunu-server kan draaien op serverless platforms zoals Cloudflare Workers met D1, of Vercel met Postgres, en ook op één Docker-host. Hij verhuist daartussen met één archief zonder onversleutelde waarden.

Mensen die vertrekken. Een lid verwijderen roteert de sleutels van elke omgeving die die persoon kon lezen. Het offboardingproces toont wat de persoon heeft ontvangen en welke waarden je opnieuw uitgeeft bij providers.

Netwerkbeperkingen met vertraging. Een netwerkbeleid per omgeving levert inhoud alleen aan toegestane netwerken. Aanscherpen werkt direct; versoepelen wacht 15 minuten met een waarschuwing, of vraagt een tweede handtekening. Dit dwingt de server af, niet de cryptografie, zoals de pagina over beperkingen van Crunu uitlegt.

Overstappen op Crunu

1. Maak een account aan en bewaar je Emergency Kit.
2. Maak projecten en omgevingen die passen bij de indeling van je paden in Vault.
3. Schrijf op een vertrouwde machine de statische waarden die je nodig hebt in .env- of INI-bestanden.
4. Sleep de bestanden naar elke omgeving en verwijder daarna de onversleutelde kopieën.
5. Schrijf je servers in als machines met een inschrijfcode voor eenmalig gebruik, en geef pipelines servicetokens met OIDC-binding.

Dynamische toegangsgegevens, PKI en Transit hebben geen tegenhanger in Crunu. Ben je daarvan afhankelijk, houd Vault dan voor dat werk.