Crunu vs Infisical: przechowywanie sekretów zespołu

Infisical to platforma do sekretów o otwartym kodzie, z chmurą prowadzoną przez producenta i opcją własnego hostingu. Obejmuje zarządzanie sekretami, sekrety dynamiczne, rotację, synchronizację z innymi platformami, operator Kubernetes, SDK w wielu językach oraz osobne produkty do certyfikatów i dostępu uprzywilejowanego. Crunu jest mniejsze i w samym rdzeniu dokonuje innego wyboru: serwer nigdy nie ma klucza, który mógłby odszyfrować twoje wartości.

Jeśli wybierasz między nimi, pytanie dotyczy głównie tego, jaki kompromis wolisz. Serwer Infisical odszyfrowuje sekrety, żeby je wydawać, a Infisical oferuje do tego synchronizację, rotację i generowane dane dostępowe. Serwer Crunu nie może odczytać wartości, co wyklucza te funkcje.

Dla kogo jest które narzędzie

Infisical pasuje zespołom, które chcą platformy o otwartym kodzie z możliwością własnego hostingu i szeroką automatyzacją: synchronizacją sekretów, dynamicznymi danymi dostępowymi, rotacją, procesami zatwierdzania, dostępem tymczasowym, Kubernetesem i SDK. Pasuje firmom, które już dziś potrzebują dostawcy zgodnego z SOC 2 i akceptują w projekcie serwer, który potrafi odszyfrować sekrety.

Crunu pasuje zespołom, które chcą sejfu z serwerem niezdolnym do odczytania wartości, jeśli jego host lub baza danych zostaną przejęte. Pasuje zespołom, które dostarczają sekrety statyczne na maszyny z Linuksem i do potoków CI, chcą podpisanego zapisu tego, kto może odczytać każde środowisko, oraz dokładnego raportu o tym, co otrzymała odchodząca osoba.

Porównanie punkt po punkcie

W czym Infisical jest mocniejszy

• Otwarty kod. Rdzeń Infisical jest na licencji MIT, a jego dokumentacja opisuje własny hosting z Dockerem, Kubernetesem, pakietem dla Linuksa, AWS i GCP. Kod źródłowy Crunu nie jest opublikowany.
• Automatyzacja. Synchronizacja sekretów, sekrety dynamiczne, rotacja według harmonogramu i procesy zatwierdzania są dostępne, zależnie od planu. Crunu nie ma żadnej z tych funkcji.
• Ekosystem. Infisical dostarcza operator Kubernetes, dostawcę Terraform i SDK dla dziewięciu języków, w tym Node.js, Pythona, Go i Javy. Crunu oferuje crunu run i crunu pull, bez SDK i bez obsługi Kubernetesa.
• Dostęp tymczasowy. Infisical oferuje tymczasowe przyznawanie dostępu w planie Advanced i wyższych. W Crunu wygasają tylko zaproszenia, linki dostępu, tokeny usługowe, dzierżawy maszyn i dostęp awaryjny.
• Potwierdzenia bezpieczeństwa. Infisical opisuje się jako zgodny z SOC 2, HIPAA i FIPS 140-3 i dwa razy w roku przeprowadza testy penetracyjne. Crunu jest we wczesnym dostępie i nie publikuje raportu SOC 2 ani zewnętrznego audytu.

Co Crunu robi inaczej

Serwer z założenia nie widzi wartości. Warstwowe klucze Infisical sprawiają, że sama skradziona baza danych nie wystarczy do odszyfrowania danych. Działający serwer dostaje jednak od operatora klucz główny i odszyfrowuje żądane dane przed odpowiedzią. Crunu nie ma takiego klucza na serwerze. Wartości są szyfrowane na twoich urządzeniach kluczami publicznymi ludzi i maszyn, którym wolno je odczytać.

Podpisany dostęp. Lista osób, które mogą odczytać środowisko, to dokument podpisany przez administratora, a każdą wersję podpisuje jej autor. Aplikacje klienckie i agenci sprawdzają te podpisy i odrzucają starsze stany, więc przejęty serwer nie może po cichu dopisać siebie jako czytelnika.

Odejście to zdarzenie dla kluczy. Usunięcie członka zespołu wymienia klucze każdego środowiska, które ta osoba mogła odczytać. Proces usuwania członka zespołu pokazuje, które wersje otrzymała, i podaje listę wartości do ponownego wygenerowania u dostawców.

Czego Crunu nie ochroni. Serwer nadal widzi metadane, takie jak nazwy, adresy e-mail i znaczniki czasu, a klient webowy wydany przez przejęty serwer to główne pozostałe ryzyko. Strona o ograniczeniach Crunu opisuje to oraz lokalny plik crunu.html, który to ryzyko zmniejsza.

Przejście na Crunu

1. Załóż konto i zapisz Emergency Kit.
2. Utwórz projekt dla każdego projektu w Infisical i środowisko dla każdego używanego środowiska.
3. Na zaufanej maszynie zapisz potrzebne wartości w plikach .env.
4. Przeciągnij pliki do odpowiednich środowisk, a potem usuń jawne kopie.
5. Zastąp infisical run poleceniem crunu run, zarejestruj serwery jako maszyny i daj potokom tokeny usługowe z powiązaniem OIDC.

Sekrety dynamiczne, synchronizacja i dostarczanie do Kubernetesa nie mają odpowiedników w Crunu. Zostaw do tego Infisical albo zaplanuj inne podejście.