Crunu vs Infisical para segredos de equipe

O Infisical é uma plataforma de segredos de código aberto, com uma nuvem hospedada e uma opção auto-hospedada. Ele cobre gerenciamento de segredos, segredos dinâmicos, rotação, sincronização com outras plataformas, um operator para Kubernetes, SDKs em várias linguagens e produtos separados para certificados e acesso privilegiado. O Crunu é menor e faz uma escolha diferente no seu núcleo: o servidor nunca tem uma chave capaz de descriptografar os seus valores.

Se você está escolhendo entre os dois, a questão é sobretudo qual troca você prefere. O servidor do Infisical descriptografa os segredos para entregá-los, e o Infisical oferece sincronizações, rotação e credenciais geradas sobre essa base. O servidor do Crunu não consegue ler os valores, o que exclui esses recursos.

Para quem é cada um

O Infisical atende equipes que querem uma plataforma de código aberto e auto-hospedável com ampla automação: sincronização de segredos, credenciais dinâmicas, rotação, fluxos de aprovação, acesso temporário, Kubernetes e SDKs. Atende empresas que precisam hoje de um fornecedor com conformidade SOC 2 e que aceitam, como parte do design, um servidor capaz de descriptografar os segredos.

O Crunu atende equipes que querem um cofre cujo servidor não consegue ler os valores se o host ou o banco de dados forem comprometidos. Atende equipes que entregam segredos estáticos a máquinas Linux e pipelines de CI, que querem um registro assinado de quem pode ler cada ambiente e um relatório preciso do que recebeu quem está saindo.

Lado a lado

Onde o Infisical é mais forte

• Código aberto. O núcleo do Infisical está sob a licença MIT, e a documentação dele cobre a hospedagem própria com Docker, Kubernetes, um pacote Linux, AWS e GCP. O código-fonte do Crunu não é publicado.
• Automação. Sincronização de segredos, segredos dinâmicos, rotação agendada e fluxos de aprovação estão disponíveis, conforme o plano. O Crunu não tem nada disso.
• Ecossistema. O Infisical oferece um operator para Kubernetes, um provider para Terraform e SDKs para nove linguagens, incluindo Node.js, Python, Go e Java. O Crunu oferece crunu run e crunu pull, sem SDKs e sem suporte a Kubernetes.
• Acesso temporário. O Infisical oferece acessos temporários no plano Advanced e acima. No Crunu, só expiram convites, links de compartilhamento, tokens de serviço, concessões de máquinas e o acesso break-glass.
• Comprovação externa. O Infisical se descreve como em conformidade com SOC 2, HIPAA e FIPS 140-3 e faz testes de intrusão duas vezes por ano. O Crunu está em acesso antecipado e não publica relatório SOC 2 nem auditoria externa.

O que o Crunu faz de diferente

O servidor é cego por design. Com as chaves em camadas do Infisical, um banco de dados roubado, sozinho, não basta para descriptografar os dados. Mas o servidor em execução recebe a chave raiz do operador e descriptografa os dados solicitados antes de responder. O Crunu não tem chave desse tipo no servidor. Os valores são selados nos seus dispositivos para as chaves públicas das pessoas e das máquinas autorizadas a lê-los.

Acesso assinado. A lista de quem pode ler um ambiente é um documento assinado por um administrador, e cada versão é assinada pelo seu autor. Clientes e agentes conferem essas assinaturas e rejeitam estados mais antigos, então um servidor comprometido não consegue se incluir às escondidas como leitor.

Sair é um evento de chaves. Remover um membro rotaciona as chaves de todos os ambientes que a pessoa podia ler. O fluxo de remoção de membros mostra quais versões ela recebeu e lista os valores a reemitir nos provedores.

O que o Crunu não consegue proteger. O servidor ainda vê metadados, como nomes, endereços de e-mail e horários, e um cliente web entregue por um servidor comprometido é o principal risco que resta. A página de limitações do Crunu trata disso e do arquivo local crunu.html, que reduz esse risco.

Como migrar para o Crunu

1. Crie uma conta e guarde o seu Emergency Kit.
2. Crie um projeto para cada projeto do Infisical e um ambiente para cada ambiente que você usa.
3. Numa máquina confiável, grave os valores de que você precisa em arquivos .env.
4. Arraste os arquivos para os ambientes correspondentes e depois apague as cópias em texto puro.
5. Troque infisical run por crunu run, registre os seus servidores como máquinas e dê aos pipelines tokens de serviço com vínculo OIDC.

Segredos dinâmicos, sincronizações e entrega via Kubernetes não têm equivalente no Crunu. Mantenha o Infisical para isso ou planeje outra abordagem.