Crunu vs 1Password para segredos de equipe

O 1Password é um gerenciador de senhas com um conjunto de ferramentas para desenvolvedores: contas de serviço, um servidor Connect auto-hospedado, uma CLI que passa segredos para processos e o Environments para variáveis de projeto. O Crunu tem um foco mais estreito: é um cofre para variáveis de ambiente, credenciais de nuvem e chaves de API, com um agente para máquinas e pipelines de CI.

Os dois criptografam nos seus dispositivos, e os dois combinam a senha da conta com uma Secret Key guardada nos seus dispositivos. O modelo de login do Crunu segue o design descrito no white paper de segurança do 1Password. As diferenças estão na remoção de pessoas, na operação do servidor e na entrega de segredos às máquinas.

Para quem é cada um

O 1Password atende equipes que querem uma única ferramenta para logins de sites, passkeys, senhas compartilhadas e segredos de desenvolvimento. Ele tem apps para Mac, Windows, Linux, iOS e Android, além de extensões de navegador. Se a sua empresa já usa o 1Password Business com login único (SSO) e provisionamento automático a partir de um provedor de identidade, os segredos de desenvolvimento podem ficar na ferramenta que os seus administradores já gerenciam.

O Crunu atende equipes de engenharia cujo problema real são arquivos .env, ~/.aws/credentials e chaves de API espalhados por notebooks, chats e configurações de CI. Ele foi construído em torno de projetos, ambientes, máquinas e pipelines, e em torno do dia em que alguém sai da equipe. Também atende equipes que querem rodar o servidor do cofre na própria infraestrutura.

Lado a lado

Onde o 1Password é mais forte

• Abrangência. O 1Password cobre logins, passkeys, preenchimento automático e segredos de desenvolvimento no computador e no celular. O Crunu não tem apps para celular, extensão de navegador nem agente para Windows.
• Integração com identidade. O 1Password Business se conecta a provedores de identidade como Okta, Microsoft Entra ID e Google Workspace para login e provisionamento. O Crunu não tem SSO nem SCIM.
• Comprovação externa. O 1Password diz ter certificação SOC 2 Type 2, publica os resultados de auditorias independentes e mantém um programa de bug bounty. O Crunu é um produto novo, em acesso antecipado, e não publica relatório SOC 2 nem auditoria externa.
• Kubernetes e SDKs. O 1Password oferece um Kubernetes Operator, um Secrets Injector, Helm charts e SDKs para Go, JavaScript e Python. O Crunu não tem nada disso; os aplicativos usam crunu run.
• Sincronização com a nuvem. O 1Password Environments pode sincronizar variáveis com o AWS Secrets Manager, um recurso que o 1Password marca como beta. O Crunu não tem sincronização integrada com cofres de segredos de nuvem.

O que acontece quando alguém sai

Esta é a diferença de design mais clara, e o 1Password a documenta abertamente. Cada membro de um cofre tem uma cópia da chave do cofre criptografada com a chave pública desse membro. Na remoção, essa cópia é apagada do servidor, o servidor para de enviar os dados do cofre e o cliente recebe a ordem de apagar as cópias locais. O white paper afirma que a remoção não é imposta por criptografia e que as chaves não são trocadas. Quem tiver guardado a chave do cofre antes só conseguiria ler itens posteriores se também obtivesse os dados criptografados atualizados. A mitigação sugerida pelo 1Password é mover os itens para um novo cofre, que tem uma nova chave.

O Crunu rotaciona as chaves na remoção. O servidor para de atender a pessoa, e cada ambiente que ela podia ler recebe uma nova chave que ela nunca teve. Quando sai um administrador, as chaves de assinatura e de recuperação da organização também são substituídas. O fluxo de remoção de membros mostra quais versões a pessoa recebeu e lista os valores a reemitir em cada provedor.

Nenhum dos dois produtos consegue fazer alguém esquecer o que já viu. Esses valores continuam válidos até você reemiti-los no provedor, como explica a página de limitações do Crunu.

Como migrar para o Crunu

1. Crie uma conta. As suas chaves são criadas no app. Guarde o Emergency Kit antes de qualquer outra coisa.
2. Crie um projeto para cada aplicação e um ambiente para cada etapa, por exemplo development, staging e production.
3. Num computador confiável, coloque os valores de que você precisa em arquivos .env, ou em arquivos INI para ferramentas como a AWS CLI.
4. Arraste os arquivos, ou pastas como .aws, para o ambiente. O Crunu lê arquivos KEY=VALUE, seções INI, YAML plano e texto comum.
5. Convide a sua equipe e dê a cada pessoa uma função por ambiente: Editor, Reader, Specific files ou Operator.
6. Registre os seus servidores como máquinas e dê tokens de serviço aos pipelines; depois apague os arquivos em texto puro que você criou no passo 3.