Crunu vs HashiCorp Vault para segredos de equipe

O HashiCorp Vault é uma plataforma de segredos de uso geral. Ele armazena segredos estáticos, gera credenciais sob demanda, emite certificados e oferece criptografia como serviço, com políticas e muitos métodos de autenticação em volta de tudo isso. O Crunu faz uma parte desse trabalho: segredos estáticos de uma equipe, ou seja, arquivos .env, credenciais de nuvem e chaves de API, organizados por projeto e ambiente.

A diferença mais profunda está em onde os valores são descriptografados. O Vault criptografa os dados antes de gravá-los no armazenamento, e o servidor Vault, depois do unseal, os descriptografa para responder às requisições. O servidor do Crunu nunca tem uma chave de descriptografia: os valores são criptografados e descriptografados apenas no navegador e no agente crunu. Essa escolha também explica por que o Crunu não consegue fazer parte do que o Vault faz de melhor.

Para quem é cada um

O Vault atende equipes de plataforma e de segurança que precisam de credenciais dinâmicas de banco de dados ou de nuvem, certificados, criptografia como serviço ou integração com Kubernetes. Atende organizações com engenheiros capazes de cuidar do design, da implantação, da escala e das atualizações de um serviço crítico, ou que contratam o HCP Vault Dedicated, a versão gerenciada.

O Crunu atende equipes que precisam principalmente de segredos estáticos num só lugar, com acesso por ambiente, entrega para máquinas e CI e um processo limpo quando alguém sai. Atende equipes que querem um servidor incapaz de ler os valores e que preferem não operar um cluster Vault.

Lado a lado

Onde o Vault é mais forte

• Segredos dinâmicos. O Vault pode criar sob demanda um usuário de banco de dados para cada serviço e revogá-lo quando a concessão termina, com TTL padrão de uma hora e máximo de 24 horas. O Crunu armazena valores; não os gera.
• Abrangência. Os engines de PKI, Transit, SSH e credenciais de nuvem cobrem muito mais do que segredos estáticos. O Crunu é deliberadamente menor.
• Kubernetes. O Vault inclui um Helm chart, o Vault Secrets Operator, um provedor CSI e um Agent Injector. O Crunu não tem integração com Kubernetes.
• Recursos de escala. O Vault Enterprise acrescenta namespaces, replicação de desempenho e de recuperação de desastres, sincronização de segredos, control groups e políticas Sentinel.
• Opção gerenciada. O HCP Vault Dedicated é o Vault Enterprise operado pela HashiCorp na AWS ou no Azure. A nuvem do Crunu é nova, está em acesso antecipado e não tem auditoria externa publicada.

O que o Crunu faz de diferente

O servidor não consegue ler os segredos. No Vault, proteger o backend de armazenamento não basta: o servidor, depois do unseal, guarda a chave que descriptografa os dados armazenados. O Crunu tira essa chave do servidor. Uma cópia completa do banco de dados dele não serve para adivinhar senhas, porque a chave da conta também depende de uma Secret Key que o servidor nunca recebe. As listas de acesso e as versões são assinadas, então o servidor não consegue se incluir às escondidas como destinatário.

Menos coisa para operar. Um servidor Crunu auto-hospedado pode rodar em plataformas serverless, como o Cloudflare Workers com D1 ou a Vercel com Postgres, e também num único host Docker. Ele muda de uma para outra com um único arquivo exportado, sem nenhum valor em texto puro.

Saída de pessoas. Remover um membro rotaciona as chaves de todos os ambientes que essa pessoa podia ler. O fluxo de remoção de membros lista o que ela recebeu e quais valores reemitir nos provedores.

Restrições de rede com atraso. Uma política de rede do ambiente só entrega conteúdo a redes permitidas. Apertar a política vale na hora; afrouxá-la exige esperar 15 minutos, com um alerta, ou uma segunda assinatura. Quem impõe isso é o servidor, não a criptografia, como explica a página de limitações do Crunu.

Como migrar para o Crunu

1. Crie uma conta e guarde o seu Emergency Kit.
2. Crie projetos e ambientes que correspondam à organização dos seus caminhos no Vault.
3. Numa máquina confiável, grave os valores estáticos de que você precisa em arquivos .env ou INI.
4. Arraste os arquivos para cada ambiente e depois apague as cópias em texto puro.
5. Registre os seus servidores como máquinas com um código de registro de uso único, e dê aos pipelines tokens de serviço com vínculo OIDC.

Credenciais dinâmicas, PKI e Transit não têm equivalente no Crunu. Se você depende deles, mantenha o Vault para essas tarefas.