Waar de bescherming van Crunu ophoudt
Versleutelen op je apparaten betekent dat de server je secrets niet kan lezen. Het neemt niet elk risico weg. Hier staat elke grens die we kennen, uit het eigen dreigingsmodel van het product, en wat je er per grens aan doet.
Wat versleuteling op je apparaten niet kan tegenhouden
Crunu ontsleutelt op je apparaten, dus wat een apparaat of de pagina daarop beheerst, kan zien wat dat apparaat ontsleutelt. Versleuteling kan ook niet terugnemen wat iemand al heeft gezien.
- Een gemanipuleerde pagina kan je wachtwoord en Secret Key onderscheppen.De pagina op app.crunu.com komt van de server, dus een server waarop is ingebroken of die te kwader trouw wordt beheerd, kan een pagina sturen die vastlegt wat je typt. De app controleert zichzelf bij elk laden tegen het ondertekende manifest van Crunu, maar die controle draait in dezelfde pagina. Op app.crunu.com vertrouw je hierin Crunu en de hosting; op je eigen server degene die hem beheert. Wat je kunt doen: waarschuwt de app ‘Build signature doesn’t match: do not enter your password’, voer het dan niet in, en draai je eigen server als de pagina van infrastructuur moet komen die jij beheert.
- Wat iemand heeft gezien, is niet terug te nemen.Een persoon verwijderen of een machine intrekken roteert de sleutels, dus nieuwe gegevens kunnen ze niet lezen. Waarden die ze al hebben gezien, blijven werken overal waar die waarden geldig zijn. Wat je kunt doen: gebruik Remove from organization, loop de checklist voor opnieuw uitgeven door en geef elke waarde opnieuw uit bij de provider, te beginnen waar het het meest telt.
- Wie een apparaat of machine beheerst, ziet wat het ontsleutelt.Malware, een browserextensie of root op je computer kan lezen wat daar wordt ontsleuteld. Root op een machine met de agent ziet alles wat eraan is geleverd, en een draaiend programma houdt zijn variabelen tot het opnieuw start. Wat je kunt doen: gebruik apparaten die je zelf beheert, geef machines alleen wat ze draaien, en gebruik na een inbraak Device compromised of trek de machine in en geef daarna de waarden ervan opnieuw uit.
Wat de server nog wel kan
Op app.crunu.com beheert Crunu de server; op je eigen server doet de beheerder dat. Hoe dan ook gelden deze grenzen ook voor iedereen die erop inbreekt. De server kan je omgevingen niet lezen, maar is niet machteloos.
- Hij ziet metadata.De server leest de namen van organisaties, projecten, omgevingen, machines en mensen, e-mailadressen, de auditlog, wie welke versie heeft ontvangen en vanaf waar, en het tijdstip en de grootte van elke versie. Niets binnen een omgeving, zelfs geen namen van variabelen of bestanden. Wat je kunt doen: houd secrets uit namen. Een project dat naar een nog niet aangekondigde deal is vernoemd, vertelt de server over die deal.
- Hij kan dienst weigeren of schrijfacties laten vallen.Een server kan stoppen met antwoorden, of beweren dat hij een wijziging nooit heeft ontvangen, en versleuteling kan hem niet dwingen je te bedienen. Wat je kunt doen: download af en toe een offline kopie. Die opent met je wachtwoord en Secret Key, zonder server. Op je eigen server exporteer je de database dagelijks. Tijdens de vroege toegang belooft app.crunu.com geen beschikbaarheid.
- Hij kan een nieuw apparaat een oude stand van je organisatie tonen.Je apparaten weigeren alles wat ouder is dan wat ze al hebben geaccepteerd, maar een apparaat dat je nooit hebt gebruikt, heeft niets om mee te vergelijken. Een gecompromitteerde server die samenwerkt met iemand die je hebt verwijderd, kan dat apparaat je organisatie tonen zoals die vóór het verwijderen was. Crunu kan dit niet volledig dichten zonder een externe bron die zegt wat actueel is. Wat je kunt doen: gebruik op een nieuw apparaat Compare with your other devices in de organisatie-instellingen, en verschillen de nummers, sla er dan niets op en meld het aan een eigenaar.
- Netwerkregels zijn regels van de server, geen versleuteling.Een gecompromitteerde server kan een IP-beperking negeren. Iedereen achter dezelfde NAT of proxy deelt één adres en telt dus als binnen, en inhoud die vóór een beperking is geleverd, blijft waar ze naartoe ging. Wat je kunt doen: gebruik netwerkregels bovenop beperkte toegang, bind CI-tokens met OIDC in plaats van te vertrouwen op IP-bereiken van runners, en geef na het aanscherpen van een regel de waarden die al weg waren opnieuw uit.
Herstel heeft harde grenzen
Omdat de server je wachtwoord of Secret Key nooit heeft, kan niemand ze voor je resetten. De wegen terug in je account moet je zelf veilig bewaren, en ze openen meer dan je misschien verwacht.
- Niemand kan je wachtwoord resetten.Raak je je wachtwoord, je Secret Key en je herstelcode kwijt, dan kan niemand je account openen, ook wij niet. Verliezen alle eigenaren en admins hun toegang, dan is er niemand meer om de organisatie te beheren. Wat je kunt doen: druk de Emergency Kit af en bewaar hem uit de buurt van je apparaten, maak een herstelcode aan, en houd minstens twee eigenaren of admins.
- Een herstelcode slaat je tweede factor over.Hij opent je account na een wachttijd, standaard één uur. De server bewaakt die wachttijd en stuurt de waarschuwing, dus een gecompromitteerde server die samenwerkt met iemand die je code heeft, kan meteen toegang geven. Wat je kunt doen: bewaar de code apart van je Emergency Kit en apparaten, en krijg je een waarschuwing over een herstel dat je niet zelf bent begonnen, annuleer het dan en verwijder de code.
- Eigenaren en admins kunnen gedeelde omgevingen openen.Elke gedeelde omgevingssleutel wordt ook versleuteld voor de herstelsleutel van de organisatie, die eigenaren en admins hebben. Zolang herstel van persoonlijke omgevingen aanstaat, en dat is standaard zo, kunnen ze ook de persoonlijke omgevingen van leden openen. Wat je kunt doen: geef die rollen alleen aan de paar mensen die de organisatie beheren. Een eigenaar kan herstel van persoonlijke omgevingen uitzetten, maar dan verliest een kwijtgeraakt account ook zijn persoonlijke omgevingen.
- Op een gestolen apparaat staat je Secret Key.Standaard bewaart je browser de Secret Key, zodat je die niet bij elke keer inloggen hoeft te typen. Dan blijft je wachtwoord over als laatste drempel. Wat je kunt doen: gebruik een sterk wachtwoord dat je alleen voor Crunu gebruikt, houd de vergrendeling bij inactiviteit kort, en verwijder het gestolen apparaat vanaf een ander apparaat of gebruik Device compromised.
Als je je eigen server draait
Deze punten gelden voor wie de server beheert. Op app.crunu.com is dat Crunu. Eén ervan raakt je apparaten op elke server, ook op app.crunu.com: de database terugzetten uit een back-up maakt elke wijziging daarna ongedaan.
- Zonder e-mail worden adressen van uitnodigingen niet bevestigd.Een server zonder ingestelde e-mail kan geen code sturen om het adres van een uitnodiging te bevestigen, dus iemand kan een uitnodiging aannemen voor een e-mailadres dat niet van die persoon is. Het vergelijken van de vingerafdruk houdt de sleutel van een vreemde nog steeds buiten. Op app.crunu.com is e-mail ingesteld. Wat je kunt doen: stel
RESEND_API_KEYenALERT_EMAIL_FROMin voordat je mensen van buiten je team uitnodigt, en vergelijk altijd de vingerafdruk. SERVER_KEYis het eigen geheim van de server.Hij ondertekent sessies, deellinks en uitnodigingen en versleutelt de geheimen van authenticator-apps, maar niet je omgevingen. Raak je hem kwijt, dan wordt iedereen uitgelogd en werken deellinks niet meer. Lekt hij samen met een kopie van de database, dan verzwakt dat de codes van authenticator-apps. Wat je kunt doen: bewaar het.env-bestand in een wachtwoordmanager, apart van back-ups, en roteer de sleutel volgens de gedocumenteerde procedure.- Een herstel draait alles terug.Een back-up terugzetten maakt elke wijziging daarna ongedaan, en apparaten die nieuwere data hebben gezien, melden een terugdraaiing en weigeren die omgevingen tot hun opgeslagen staat is gereset. Wat je kunt doen: maak dagelijks een back-up, reset agents en browsers alleen na een herstel dat je zelf hebt uitgevoerd, en zie een waarschuwing over terugdraaien zonder zo’n herstel als een alarmsignaal.
- Kies het adres en het platform zorgvuldig.Inloghandtekeningen, deellinks, passkeys en agents zijn gebonden aan het adres van de server, dus dat kan later niet veranderen. Op het gratis Cloudflare Workers krijgt een verzoek 10 ms CPU-tijd, en op Google Cloud Run en AWS App Runner komen sommige waarschuwingen te laat. AWS heeft App Runner gesloten voor nieuwe klanten. Wat je kunt doen: gebruik een domein dat je houdt, Workers Paid voor een team, en een platform met een planner als die waarschuwingen ertoe doen.
Bewust niet in Crunu, of nog niet
Sommige dingen doet Crunu niet. Eén ervan nooit, omdat het sleutels op de server zou vragen. De andere ontbreken vandaag, dus houd er rekening mee.
- Geen dynamische secrets.Crunu maakt geen kortlevende databasewachtwoorden of cloudtoegangsgegevens op aanvraag. Dat vraagt sleutels op de server, en juist die heeft Crunu bewust niet. Dat verandert niet. Wat je kunt doen: gebruik de kortlevende toegangsgegevens van je provider waar die ze aanbiedt.
- Geen automatisch opnieuw uitgeven bij providers.Rotatie in Crunu verandert versleutelingssleutels. De waarden zelf geef je met de hand opnieuw uit bij elke provider, aan de hand van de checklist. Wat je kunt doen: geef langlevende toegangsgegevens volgens een schema opnieuw uit, en sla elke nieuwe waarde op als nieuwe versie.
- Geen tijdelijke toegang voor mensen.Toegang tot een omgeving heeft geen vervaldatum. Een vervaldatum bestaat voor uitnodigingen, deellinks, servicetokens, leases van machines en break-glass-toegang. Wat je kunt doen: controleer wie toegang heeft tot production als mensen van rol wisselen, en gebruik een deellink met vervaldatum voor eenmalige behoeften.
Vragen over deze grenzen
Kunnen medewerkers van Crunu mijn secrets lezen?
Nee. Op app.crunu.com beheert Crunu de server, en de server heeft alleen versleutelde data en geen sleutel om die te ontsleutelen. Wij kunnen metadata zien, zoals namen, e-mailadressen en de auditlog; die staan in het Privacybeleid. Om bij je waarden te komen, zou de code die op je apparaat draait moeten worden gewijzigd, en dat is de eerste grens op deze pagina.
Vallen deze grenzen weg als ik mijn eigen server draai?
Een deel ervan komt bij jou te liggen. Jij bepaalt wie de server beheert die de webpagina stuurt en de metadata ziet, en jij neemt de grenzen uit ‘Als je je eigen server draait’ op je. De grenzen op je apparaten blijven gelijk.
Waarom kunnen jullie mijn wachtwoord niet resetten?
Je accountsleutel wordt op je apparaat afgeleid van je wachtwoord en je Secret Key, en wij ontvangen geen van beide. Daardoor blijft je data voor ons onleesbaar. Je Emergency Kit en een herstelcode zijn de wegen terug in je account.
Wat doen we als eerste als iemand vertrekt?
Verwijder de persoon uit de organisatie. Crunu levert dan niets meer aan die persoon en roteert elke sleutel die die had. Loop daarna de checklist door en geef bij elke provider de waarden opnieuw uit die de persoon heeft gezien.
Komt Crunu met dynamische secrets?
Nee. Toegangsgegevens op aanvraag aanmaken vraagt sleutels op de server, en Crunu is zo gebouwd dat de server die nooit heeft.
Een grens gevonden die niet op deze pagina staat?
Mail naar security@crunu.com. We zetten hem liever hier dan dat je er op de harde manier achter komt.
Zet de secrets van je team waar de server ze niet kan lezen
Maak je account aan op app.crunu.com. Je sleutels worden in je browser aangemaakt, en de server krijgt alleen versleutelde data.