OpenBao – Fork FOSS do HashiCorp Vault

Artigo original ↗ Discussão no Hacker News ↗

Um novo projeto open source, OpenBao, surgiu como um fork do HashiCorp Vault após a mudança de licença da HashiCorp, com o objetivo de oferecer um gerenciador de segredos governado pela comunidade e menos atrelado às prioridades comerciais de um único fornecedor. Os comentaristas acolhem o fork e sua comunidade baseada no Matrix, mas observam que ele ainda está em um estágio muito inicial e não está pronto para produção, levantando preocupações sobre estabilidade, confiança e o risco de fragmentação em ferramentas críticas de segurança. Além de comparações com os recursos empresariais, preços e complexidade operacional do Vault, a conversa examina abordagens alternativas de gerenciamento de segredos — incluindo SOPS, EnvKey e Infisical — e destaca necessidades específicas como integração HSM, conformidade FIPS e geração dinâmica de credenciais, que o OpenBao precisaria atender para ser um substituto completo.

Status do projeto e comunidade

  • OpenBao é descrito como um fork de Vault em um estágio muito inicial e ainda não pronto para produção.
  • Os contribuidores convidam à participação por meio de várias salas do Matrix e de uma lista de e-mail; a federação a partir de outros servidores Matrix parece funcionar.
  • Alguns cantos ainda estão ásperos (por exemplo, referências remanescentes a “Vault” na documentação e no texto de segurança).

Motivações para o fork e governança

  • Principal motivo declarado: a mudança de licença da HashiCorp; alguns querem uma versão menos alinhada às necessidades comerciais de uma única empresa.
  • Debate sobre modelos de negócios de OSS:
    • Um lado argumenta que empresas que lançam sob licenças liberais precisam aprender a competir com revendedores em nuvem e ainda podem vencer controlando o roadmap e a qualidade.
    • O outro lado enfatiza o alto custo de manter software complexo e afirma que os revendedores SaaS têm uma grande vantagem por não financiarem o desenvolvimento do núcleo.

Discussão sobre logo e marca

  • Vários comentaristas observam que o logo parece muito semelhante ao mascote bao do Bun; outros argumentam que há pouco espaço de design para “bao bun fofinho com cara”.
  • Alguns veem a semelhança como mau gosto; outros acham irrelevante, já que os produtos não têm relação.

Experiências de uso com Vault, Consul e Nomad

  • Visões mistas:
    • Alguns dizem que Vault e Consul tornam a vida deles mais difícil, citando complexidade operacional e instabilidade passada do Consul (eleições, problemas de estado).
    • Outros relatam implantações grandes e estáveis de Vault (especialmente com uma equipe dedicada de DevOps) e o consideram bem projetado, em vez de “superengenheirado”.
    • Nomad é chamado em tom de brincadeira de “perfeito”, mas sem crítica detalhada.

Alternativas ao Vault

  • As sugestões incluem:
    • Mozilla SOPS (além de ferramentas como Step CA e Teleport) para segredos KV e alguns casos de uso de auth/SSH; elogiado pela simplicidade, mas reconhecido como não sendo substituto completo para os motores dinâmicos do Vault.
    • Infisical e EnvKey como gerenciadores de segredos/configuração mais fáceis, com ofertas open source.
  • Discussão em torno do marketing do EnvKey: críticos dizem que sua comparação com o Vault minimiza o conjunto de recursos muito mais amplo do Vault; defensores argumentam que a comparação foca em gerenciamento de segredos, não nas capacidades completas de infraestrutura do Vault.

Recursos empresariais: HSM e FIPS

  • Um usuário depende do Vault pago para integração HSM on-prem e operação certificada FIPS e não vê o OpenBao como substituto no momento.
  • Outros esperam que o OpenBao eventualmente ganhe suporte a HSM, mas observam que o trabalho de conformidade é caro e precisaria de financiamento (a participação da IBM é mencionada, mas não está claramente confirmada).

Segurança, confiança e auditorias

  • Alguns se sentem desconfortáveis com a vibração de “guerra santa” em torno dos forks e temem instabilidade ou mudanças maliciosas em uma ferramenta crítica para segurança.
  • As respostas enfatizam:
    • O HashiCorp Vault não é considerado mais vulnerável após o fork; o conflito é sobre licença e governança.
    • A garantia final vem de auditorias, revisão de código e/ou pagar um fornecedor para assumir garantias de segurança.
  • A frase padrão “levamos segurança a sério” é vista por alguns como algo que reduz a confiança, em vez de tranquilizar.