Crunu vs HashiCorp Vault: przechowywanie sekretów zespołu

HashiCorp Vault to platforma do sekretów ogólnego przeznaczenia. Przechowuje sekrety statyczne, generuje dane dostępowe na żądanie, wystawia certyfikaty i oferuje szyfrowanie jako usługę, a wokół tego wszystkiego – polityki i wiele metod uwierzytelniania. Crunu wykonuje jedną część tej pracy: obsługuje sekrety statyczne zespołu, czyli pliki .env, dane dostępowe do chmury i klucze API uporządkowane według projektów i środowisk.

Głębsza różnica dotyczy miejsca, w którym wartości są odszyfrowywane. Vault szyfruje dane przed zapisaniem ich w magazynie, a odpieczętowany (unsealed) serwer Vault odszyfrowuje je, by odpowiadać na żądania. Serwer Crunu nigdy nie ma klucza deszyfrującego: wartości są szyfrowane i odszyfrowywane tylko w przeglądarce i w agencie crunu. Ten wybór sprawia też, że Crunu nie potrafi części tego, w czym Vault jest najlepszy.

Dla kogo jest które narzędzie

Vault pasuje zespołom platformowym i zespołom bezpieczeństwa, które potrzebują dynamicznych danych dostępowych do baz danych lub chmury, certyfikatów, szyfrowania jako usługi albo integracji z Kubernetesem. Pasuje organizacjom z inżynierami, którzy mogą wziąć na siebie projekt, wdrożenie, skalowanie i aktualizacje krytycznej usługi, albo takim, które kupują zarządzany HCP Vault Dedicated.

Crunu pasuje zespołom, które potrzebują głównie sekretów statycznych w jednym miejscu, z dostępem na poziomie środowisk, dostarczaniem do maszyn i CI oraz porządnym procesem na wypadek czyjegoś odejścia. Pasuje zespołom, które chcą, by serwer nie mógł odczytać wartości, i które wolałyby nie utrzymywać klastra Vault.

Porównanie punkt po punkcie

W czym Vault jest mocniejszy

• Sekrety dynamiczne. Vault może na żądanie utworzyć użytkownika bazy danych dla każdej usługi i unieważnić go, gdy kończy się dzierżawa – domyślny TTL to godzina, a maksymalny 24 godziny. Crunu przechowuje wartości, ale ich nie tworzy.
• Zakres. Silniki PKI, Transit, SSH i danych dostępowych do chmury obejmują znacznie więcej niż sekrety statyczne. Crunu jest celowo mniejsze.
• Kubernetes. Vault dostarcza chart Helm, Vault Secrets Operator, dostawcę CSI i Agent Injector. Crunu nie ma integracji z Kubernetesem.
• Funkcje dla dużej skali. Vault Enterprise dodaje przestrzenie nazw (namespaces), replikację wydajnościową i na wypadek awarii (disaster recovery), synchronizację sekretów, grupy kontrolne i polityki Sentinel.
• Opcja zarządzana. HCP Vault Dedicated to Vault Enterprise obsługiwany przez HashiCorp na AWS lub Azure. Chmura Crunu jest nowa, działa we wczesnym dostępie i nie ma opublikowanego zewnętrznego audytu.

Co Crunu robi inaczej

Serwer nie może odczytać sekretów. W Vault ochrona magazynu nie wystarcza: odpieczętowany serwer ma klucz, który odszyfrowuje zapisane dane. Crunu usuwa ten klucz z serwera. Pełna kopia jego bazy danych nie przydaje się do odgadywania haseł, bo klucz konta zależy też od Secret Key, którego serwer nigdy nie otrzymuje. Listy dostępu i wersje są podpisane, więc serwer nie może po cichu dopisać siebie jako odbiorcy.

Mniej do utrzymywania. Serwer Crunu we własnym hostingu może działać na platformach serverless, takich jak Cloudflare Workers z D1 czy Vercel z Postgresem, a także na pojedynczym hoście z Dockerem. Przenosi się między nimi jednym archiwum, które nie zawiera wartości w postaci jawnej.

Odejścia ludzi. Usunięcie członka zespołu wymienia klucze każdego środowiska, które ta osoba mogła odczytać. Proces usuwania członka zespołu pokazuje, co otrzymała, i podaje listę wartości do ponownego wygenerowania u dostawców.

Ograniczenia sieciowe z opóźnieniem. Reguła sieciowa środowiska wydaje dane tylko dozwolonym sieciom. Zaostrzenie działa od razu; złagodzenie czeka 15 minut z alertem albo wymaga drugiego podpisu. Egzekwuje to serwer, a nie kryptografia, jak wyjaśnia strona o ograniczeniach Crunu.

Przejście na Crunu

1. Załóż konto i zapisz Emergency Kit.
2. Utwórz projekty i środowiska odpowiadające temu, jak uporządkowane są ścieżki w Vault.
3. Na zaufanej maszynie zapisz potrzebne wartości statyczne w plikach .env lub INI.
4. Przeciągnij pliki do każdego środowiska, a potem usuń jawne kopie.
5. Zarejestruj serwery jako maszyny jednorazowym kodem rejestracji i daj potokom tokeny usługowe z powiązaniem OIDC.

Dynamiczne dane dostępowe, PKI i Transit nie mają odpowiedników w Crunu. Jeśli na nich polegasz, zostaw Vault do tych zadań.