Crunu vs 1Password: przechowywanie sekretów zespołu

1Password to menedżer haseł z zestawem narzędzi dla programistów: kontami usług (service accounts), serwerem Connect hostowanym samodzielnie, CLI, które przekazuje sekrety procesom, oraz Environments na zmienne projektów. Crunu ma węższy zakres: to sejf na zmienne środowiskowe, dane dostępowe do chmury i klucze API, z agentem dla maszyn i potoków CI.

Oba produkty szyfrują na twoich urządzeniach i oba łączą hasło do konta z Secret Key przechowywanym na twoich urządzeniach. Model logowania Crunu opiera się na projekcie opisanym w białej księdze bezpieczeństwa 1Password. Różnice dotyczą usuwania ludzi, uruchamiania serwera i dostarczania sekretów do maszyn.

Dla kogo jest które narzędzie

1Password pasuje zespołom, które chcą jednego narzędzia do loginów na stronach, kluczy dostępu, wspólnych haseł i sekretów programistów. Ma aplikacje na Maca, Windows, Linuksa, iOS i Androida oraz rozszerzenia przeglądarek. Jeśli twoja firma już używa 1Password Business z logowaniem jednokrotnym i automatycznym zakładaniem kont przez dostawcę tożsamości, sekrety programistów mogą zostać w narzędziu, którym twoi administratorzy już zarządzają.

Crunu pasuje zespołom inżynierskim, których prawdziwym problemem są pliki .env, ~/.aws/credentials i klucze API rozrzucone po laptopach, czatach i ustawieniach CI. Zbudowano je wokół projektów, środowisk, maszyn i potoków – oraz wokół dnia, w którym ktoś odchodzi z zespołu. Pasuje też zespołom, które chcą uruchomić serwer sejfu we własnej infrastrukturze.

Porównanie punkt po punkcie

W czym 1Password jest mocniejszy

• Zakres. 1Password obejmuje loginy, klucze dostępu, autouzupełnianie i sekrety programistów na komputerach i urządzeniach mobilnych. Crunu nie ma aplikacji mobilnych, rozszerzenia przeglądarki ani agenta na Windows.
• Integracja z tożsamością. 1Password Business łączy się z dostawcami tożsamości, takimi jak Okta, Microsoft Entra ID i Google Workspace, przy logowaniu i zakładaniu kont. Crunu nie ma SSO ani SCIM.
• Potwierdzenia bezpieczeństwa. 1Password podaje, że ma certyfikat SOC 2 Type 2, publikuje wyniki niezależnych audytów i prowadzi program bug bounty. Crunu to nowy produkt we wczesnym dostępie i nie publikuje raportu SOC 2 ani zewnętrznego audytu.
• Kubernetes i SDK. 1Password oferuje Kubernetes Operator, Secrets Injector, charty Helm oraz SDK dla Go, JavaScriptu i Pythona. Crunu nie ma żadnego z nich; aplikacje używają crunu run.
• Synchronizacja z chmurą. 1Password Environments potrafi synchronizować zmienne do AWS Secrets Manager – 1Password oznacza tę funkcję jako beta. Crunu nie ma wbudowanej synchronizacji z magazynami sekretów w chmurze.

Co się dzieje, gdy ktoś odchodzi

To najwyraźniejsza różnica w projekcie i 1Password opisuje ją wprost. Każdy członek sejfu ma kopię klucza sejfu zaszyfrowaną swoim kluczem publicznym. Przy usunięciu ta kopia jest kasowana z serwera, serwer przestaje wysyłać dane sejfu, a klient dostaje polecenie usunięcia lokalnych kopii. Biała księga stwierdza, że usunięcie nie jest wymuszane kryptograficznie, a klucze się nie zmieniają. Ktoś, kto wcześniej zapisał klucz sejfu, mógłby odczytać późniejsze elementy tylko wtedy, gdyby zdobył też zaktualizowane zaszyfrowane dane. Jako środek zaradczy 1Password proponuje przeniesienie elementów do nowego sejfu, który ma nowy klucz.

Crunu przy usunięciu wymienia klucze. Serwer przestaje wydawać dane tej osobie, a każde środowisko, które mogła odczytać, dostaje nowy klucz, którego nigdy nie miała. Gdy odchodzi administrator, wymieniane są też klucz podpisu i klucz odzyskiwania organizacji. Proces usuwania członka zespołu pokazuje, które wersje ta osoba otrzymała, i podaje listę wartości do ponownego wygenerowania u każdego dostawcy.

Żaden z produktów nie sprawi, że ktoś zapomni to, co już widział. Te wartości pozostają ważne, dopóki nie wygenerujesz ich ponownie u dostawcy, jak wyjaśnia strona o ograniczeniach Crunu.

Przejście na Crunu

1. Załóż konto. Twoje klucze powstają w aplikacji. Zanim zrobisz cokolwiek innego, zapisz Emergency Kit.
2. Utwórz projekt dla każdej aplikacji i środowisko dla każdego etapu, na przykład development, staging i production.
3. Na zaufanym komputerze zapisz potrzebne wartości w plikach .env albo w plikach INI dla narzędzi takich jak AWS CLI.
4. Przeciągnij pliki albo foldery, takie jak .aws, do środowiska. Crunu odczytuje pliki KEY=VALUE, sekcje INI, płaski YAML i zwykły tekst.
5. Zaproś zespół i nadaj każdej osobie rolę w każdym środowisku: Editor, Reader, Specific files lub Operator.
6. Zarejestruj serwery jako maszyny i daj potokom tokeny usługowe, a potem usuń jawne pliki utworzone w kroku 3.