Crunu vs Infisical voor teamsecrets

Infisical is een opensourceplatform voor secrets met een gehoste cloud en een optie om zelf te hosten. Het omvat secretsbeheer, dynamische secrets, rotatie, synchronisatie met andere platforms, een Kubernetes-operator, SDK’s in veel talen, en aparte producten voor certificaten en geprivilegieerde toegang. Crunu is kleiner en maakt in de kern één andere keuze: de server heeft nooit een sleutel waarmee je waarden te ontsleutelen zijn.

Kies je tussen de twee, dan draait de vraag vooral om welke afweging je wilt. De server van Infisical ontsleutelt secrets om ze te leveren, en Infisical biedt daarbovenop synchronisatie, rotatie en aangemaakte toegangsgegevens. De server van Crunu kan waarden niet lezen, en dat sluit die functies uit.

Voor wie welk product past

Infisical past bij teams die een opensourceplatform willen dat ze zelf kunnen hosten, met brede automatisering: synchronisatie van secrets, dynamische toegangsgegevens, rotatie, goedkeuringsworkflows, tijdelijke toegang, Kubernetes en SDK’s. Het past bij bedrijven die nu al een leverancier met SOC 2-compliance nodig hebben, en die een server accepteren die secrets kan ontsleutelen als onderdeel van het ontwerp.

Crunu past bij teams die een kluis willen waarvan de server waarden niet kan lezen als de host of database is gecompromitteerd. Het past bij teams die statische secrets afleveren op Linux-machines en CI-pipelines, een ondertekend overzicht willen van wie elke omgeving mag lezen, en een precies rapport willen van wat een vertrekkende persoon heeft ontvangen.

Naast elkaar

Waar Infisical sterker is

• Open source. De kern van Infisical valt onder de MIT-licentie, en de documentatie beschrijft zelf hosten met Docker, Kubernetes, een Linux-pakket, AWS en GCP. De broncode van Crunu is niet gepubliceerd.
• Automatisering. Synchronisatie van secrets, dynamische secrets, geplande rotatie en goedkeuringsworkflows zijn allemaal beschikbaar, afhankelijk van het abonnement. Crunu heeft geen van deze functies.
• Ecosysteem. Infisical levert een Kubernetes-operator, een Terraform-provider en SDK’s voor negen talen, waaronder Node.js, Python, Go en Java. Crunu biedt crunu run en crunu pull, zonder SDK’s en zonder ondersteuning voor Kubernetes.
• Tijdelijke toegang. Infisical biedt tijdelijke toegang vanaf het Advanced-abonnement. In Crunu verlopen alleen uitnodigingen, deellinks, servicetokens, leases van machines en break-glass-toegang.
• Zekerheid. Infisical noemt zichzelf compliant met SOC 2, HIPAA en FIPS 140-3 en laat twee keer per jaar penetratietests uitvoeren. Crunu is in vroege toegang en publiceert geen SOC 2-rapport of externe audit.

Wat Crunu anders doet

De server is blind door het ontwerp. Door de gelaagde sleutels van Infisical is een gestolen database alleen niet genoeg om data te ontsleutelen. De draaiende server krijgt de rootsleutel echter van de beheerder en ontsleutelt opgevraagde data voordat hij antwoordt. Crunu heeft zo’n sleutel niet op de server. Waarden worden op je apparaten versleuteld voor de publieke sleutels van de mensen en machines die ze mogen lezen.

Ondertekende toegang. De lijst van wie een omgeving mag lezen, is een document dat een beheerder heeft ondertekend, en elke versie is ondertekend door de auteur. Clients en agents controleren die handtekeningen en weigeren oudere staten, dus een gecompromitteerde server kan zichzelf niet ongemerkt als lezer toevoegen.

Vertrekken is een sleutelmoment. Een lid verwijderen roteert de sleutels van elke omgeving die die persoon kon lezen. Het offboardingproces toont welke versies de persoon heeft ontvangen en noemt de waarden om opnieuw uit te geven bij providers.

Wat Crunu niet kan beschermen. De server ziet nog steeds metadata zoals namen, e-mailadressen en tijdstempels, en een webclient die door een gecompromitteerde server wordt geleverd, is het grootste resterende risico. De pagina over beperkingen van Crunu behandelt dit en het lokale bestand crunu.html dat dat risico verkleint.

Overstappen op Crunu

1. Maak een account aan en bewaar je Emergency Kit.
2. Maak een project voor elk Infisical-project en een omgeving voor elke omgeving die je gebruikt.
3. Schrijf op een vertrouwde machine de waarden die je nodig hebt in .env-bestanden.
4. Sleep de bestanden naar de bijbehorende omgevingen en verwijder daarna de onversleutelde kopieën.
5. Vervang infisical run door crunu run, schrijf je servers in als machines en geef pipelines servicetokens met OIDC-binding.

Dynamische secrets, synchronisatie en aflevering via Kubernetes hebben geen tegenhanger in Crunu. Houd Infisical daarvoor, of kies een andere aanpak.