Alternative à Entrust nShield : DuoKey vs Entrust

Uniquement chez DuoKey

Support 24/7 avec délais de réponse contractuels
Déchiffrement autorisé par groupes Entra ID
RBAC administrateur granulaire
Approbation par quorum (quatre yeux)
Accès contextuel à l'usage de la clé
Règles d'accès modifiées à chaud
Règles de blocage prioritaires sur les autorisations
Plusieurs fournisseurs d'identité
Journal d'audit infalsifiable
mTLS optionnel sur les appels de déchiffrement
Test de clé de bout en bout intégré
Anciens documents lisibles après rotation
Rotation sans nouvelle étiquette Purview
Service DKE hébergé par l'éditeur (SaaS)
Inscription d'application Entra ID automatique
Aucun runtime ou OS en fin de vie
Clé jamais reconstituée en un seul endroit
Export des clés dans des formats standard

Critère par critère

DuoKey et Entrust, côte à côte

CapacitéDuoKeyEntrust

Éditeur et support

1Support 24/7 avec délais de réponse contractuels

Support 24 h/24 avec des délais de réponse contractuels pour les incidents critiques.

Oui24/7 en Platinum, réponse en 1 h si critiqueSource

PartielSupport 24x7 ; objectifs KeyControl en heures ouvréesSource

2Licence d'évaluation ou d'essai

Un essai gratuit ou une licence de preuve de concept pour tester avant d'acheter.

OuiPreuve de concept gratuite de 30 joursSource

OuiEssai KeyControl de 30 joursSource

Couverture Microsoft DKE

3Endpoint Microsoft 365 DKE natif

Répond aux appels Microsoft GetKey et Decrypt utilisés par Word, Excel, PowerPoint et Outlook.

OuiSource

4Déchiffrement autorisé par groupes Entra ID

Le service de clés limite lui-même le déchiffrement aux membres de groupes ou de rôles de l'annuaire.

OuiRègles par groupe Entra ID ou OktaSource

PartielLa clé vérifie le GUID du tenant ; groupes dans PurviewSource

5Multi-tenant et tenants partenaires (B2B)

Un seul service de clés partagé entre plusieurs tenants Entra ID ou des partenaires externes.

OuiSource

OuiListe autorisée de GUID de tenantsSource

Administration et contrôle d'accès

6SSO et MFA pour les administrateurs

Les administrateurs se connectent via le fournisseur d'identité de l'entreprise avec authentification multifacteur.

OuiOIDC, TOTP et passkeysSource

OuiOIDC et double authentificationSource

7RBAC administrateur granulaire

Rôles et permissions personnalisés, limités à des clés, des services ou des unités organisationnelles.

OuiRôles limités à des unités organisationnellesSource

PartielTrois rôles d'admin intégrésSource

8Approbation par quorum (quatre yeux)

Les opérations sensibles sur les clés exigent l'approbation de plusieurs administrateurs.

OuiM-of-N sur suppression de clé et de vault, rotation de vaultSource

PartielDouble contrôle annoncé ; n-of-m pour la restaurationSource

9Accès contextuel à l'usage de la clé

Déchiffrement autorisé ou refusé selon la plage IP, le pays ou l'heure.

OuiRègles par IP, pays et horaireSource

Non documenté

Supervision

10Journaux d'audit exportés vers un SIEM

Événements de clés et d'administration transmis à Splunk, Sentinel, QRadar ou syslog.

OuiSplunk, Sentinel, QRadar, syslog/CEFSource

OuiSyslog/CEF vers SentinelSource

11Tableau de bord de supervision intégré

Tableau de bord d'état et d'usage fourni avec le produit.

OuiÉtat par service, compteurs GetKey et DecryptSource

OuiTableau de bord Compliance ManagerSource

12Supervision SNMP

Interrogation ou traps SNMP pour l'équipe d'exploitation.

OuiTraps et informs SNMP v2c/v3 ; pas d'agent à interrogerSource

OuiSNMP v2c et v3Source

Zero Trust et audit

28Règles d'accès modifiées à chaud

Les règles d'accès DKE se modifient dans une interface ou une API et s'appliquent immédiatement, sans fichier de configuration ni redéploiement.

OuiPolitiques appliquées sans redémarrageSource

PartielAu niveau du tenant uniquementSource

29Règles de blocage prioritaires sur les autorisations

Règles de refus explicites pour couper le déchiffrement à un utilisateur, un groupe, un réseau ou un pays lors d'un incident.

OuiBypass > Block > Allow > refus par défautSource

PartielDésactivation d'une clé entière uniquementSource

30Plusieurs fournisseurs d'identité

Entra ID ainsi qu'Okta, Keycloak ou d'autres fournisseurs OIDC pour la connexion et les règles par groupe.

OuiEntra ID, Okta, Keycloak et autres OIDCSource

PartielUn type d'authentification par vaultSource

31Journal d'audit infalsifiable

Chaque enregistrement d'audit est signé ou chaîné par hachage : toute modification ou suppression est détectable.

OuiHMAC-SHA256 par enregistrement et chaîne SHA-256Source

Non documentéJournal en lecture seule ; signature non indiquéeSource

32mTLS optionnel sur les appels de déchiffrement

Vérification d'un certificat client sur les appels de déchiffrement DKE, en plus du jeton Entra ID.

OuiCA client, sujets autorisés, en-têteSource

Non documenté

33Test de clé de bout en bout intégré

La clé et le backend sont testés par un aller-retour wrap/unwrap avant la mise en service.

OuiVérification wrap/unwrap préalableSource

PartielTest manuel navigateur et OfficeSource

Disponibilité et cycle de vie des clés

13Cluster haute disponibilité

Nœuds actif-actif : le service de clés survit à la panne d'un nœud.

OuiCockpit N+1, 3 nœuds MPC ou plusSource

OuiSource

14Déploiement multisite ou géoredondant

Survit à la perte d'un datacenter entier.

OuiCluster MPC sur trois sitesSource

OuiCluster sur deux sitesSource

15Procédure de sauvegarde et de restauration des clés

Sauvegarde et restauration documentées des clés après un incident.

OuiSource

OuiSauvegardes automatiques toutes les 12 heuresSource

16Anciens documents lisibles après rotation

Le contenu protégé par une version antérieure de la clé reste lisible.

OuiAnciennes clés conservées en déchiffrement seulSource

Non documentéNon indiquéSource

17Rotation sans nouvelle étiquette Purview

La rotation de la clé n'impose ni nouvelle étiquette ni campagne de réétiquetage.

OuiURL d'étiquette inchangée depuis Cockpit 2.0.8Source

Non documenté

18Rotation planifiée des clés

Rotation automatique selon un calendrier.

OuiTous les 30 jours, 6 mois, chaque année ou personnalisé ; soumis au quorumSource

OuiAnnuel, 6 mois, 30 jours, personnaliséSource

Hébergement et déploiement

19Service DKE hébergé par l'éditeur (SaaS)

L'éditeur exploite l'endpoint DKE ; rien à héberger côté client.

OuiExploité par DuoKeySource

PartielKeyControl as a Service ; DKE non mentionnéSource

20Option sur site

Exécuter toute la pile DKE dans votre propre périmètre.

OuiOpenShift ou VMSource

OuiSource

21Inscription d'application Entra ID automatique

L'inscription d'application DKE est créée pour vous, sans étapes manuelles dans le portail.

OuiCréée via Microsoft GraphSource

NonÉtapes manuelles dans le portail AzureSource

22Aucun runtime ou OS en fin de vie

Le déploiement documenté ne dépend d'aucun framework ni système d'exploitation non supporté.

OuiOpenShift 4.x supportéSource

Non documentéAppliance durcie

Stockage des clés, conformité et réversibilité

23Stockage des clés FIPS 140 niveau 3

Clés protégées par un module validé FIPS 140-2 ou 140-3 niveau 3.

OuiAvec un backend HSM comme SecurosysSource

OuiAvec HSM nShieldSource

24Clé jamais reconstituée en un seul endroit

Calcul multipartite (MPC) ou cryptographie à seuil : aucun nœud ne détient la clé entière.

OuiAvec le backend de clés MPCSource

Non documenté

25Éditeur certifié ISO/IEC 27001

Les opérations propres de l'éditeur sont certifiées ISO/IEC 27001.

OuiISO 27001, SOC 2, TISAX AL3Source

OuiEnsemble des opérationsSource

26Région d'hébergement au choix du client

Choisissez où sont hébergés le service de clés et les clés.

OuiUE, Suisse ou USSource

OuiSource

27Export des clés dans des formats standard

Réversibilité : les clés peuvent être exportées via KMIP, PKCS#8 ou PKCS#12.

OuiPKCS#8, PKCS#12, encapsulation RSA-AES, KMIP (clés exportables)Source

Non documentéServeur KMIP ; export de clé DKE non indiquéSource

Pourquoi choisir DuoKey

Les différences clés avec Entrust

Un déchiffrement qui tient compte des groupes

La clé DKE d'Entrust vérifie le GUID du tenant ; le ciblage des utilisateurs et des groupes se fait dans les étiquettes Purview. DuoKey applique en plus des règles par groupe, IP, pays et horaire au niveau du service de clés, à chaque déchiffrement.

Un comportement de rotation documenté

Entrust planifie la rotation des clés DKE, mais son guide public n'indique pas ce qu'il advient des documents protégés par des versions antérieures. DuoKey conserve les anciennes clés en déchiffrement seul et ne modifie jamais l'URL de l'étiquette Purview.

Un câblage Azure automatique

Le guide d'intégration d'Entrust détaille des étapes manuelles dans le portail Entra ID. DuoKey crée l'inscription d'application via Microsoft Graph.

Le MPC plutôt qu'un HSM unique

Avec nShield, la clé réside entière dans un matériel certifié. Avec le backend MPC de DuoKey, elle est répartie entre des nœuds indépendants et jamais reconstituée.

Une alternative à nShield pour la garde des clés

nShield est un périmètre matériel auquel les applications accèdent via PKCS#11, CNG ou les API Java. DuoKey KMS conserve les clés sous forme de parts MPC sur des nœuds indépendants et les expose via un serveur KMIP 2.1 et une bibliothèque PKCS#11, ou utilise un backend HSM Securosys lorsqu'un périmètre matériel validé est exigé.

La gestion des clés au-delà de Microsoft 365

Les fiches techniques KeyControl que nous avons consultées documentent un serveur KMIP et le BYOK pour AWS et Azure. DuoKey couvre des intégrations HYOK où la clé reste hors du fournisseur (AWS XKS, Azure EKM, Microsoft 365 DKE, Snowflake Tri-Secret Secure), ainsi que Salesforce, Oracle TDE, SQL Server EKM, VMware vCenter, OpenBao et HashiCorp Vault, depuis une seule console.

Les points forts de Entrust

Entrust documente la rotation DKE planifiée, les listes de tenants autorisés, les clusters actif-actif sur deux sites, les sauvegardes automatiques, l'export SIEM vers Sentinel, SNMP et un essai de 30 jours. Les HSM nShield 5 sont validés FIPS 140-3 niveau 3 (certificat CMVP n° 4745 pour le module nShield 5s), un choix standard lorsqu'une exigence impose du matériel certifié. Les organisations standardisées sur nShield et KeyControl peuvent garder DKE dans ce périmètre.

FAQ

DuoKey est-il une alternative à Entrust nShield ?

Cela dépend du rôle de nShield chez vous. Si nShield sert de racine de confiance pour la gestion des clés, les clés cloud ou le DKE Microsoft 365, DuoKey peut prendre ce rôle avec une garde par MPC, ou avec un backend HSM Securosys lorsque du matériel certifié est exigé. Si une application a besoin d'un HSM local, par exemple pour de la signature à fort volume ou du code exécuté dans le HSM, gardez un HSM pour ce cas.

DuoKey peut-il remplacer Entrust KeyControl ?

DuoKey couvre les principaux rôles de KeyControl : un serveur KMIP 2.1 pour les clients KMIP comme VMware vCenter, une bibliothèque PKCS#11, un cycle de vie des clés avec approbation par quorum et des intégrations cloud dont AWS XKS et Azure EKM. Testez-le avec vos clients KMIP actuels avant de migrer.

DuoKey est-il une alternative à Entrust pour le DKE Microsoft 365 ?

Oui. DuoKey fournit la seconde clé détenue par le client et le service DKE appelé par Microsoft 365, opéré par DuoKey ou déployé sur votre propre infrastructure.

Peut-on migrer de Entrust vers DuoKey ?

Oui. Créez un service DKE DuoKey et une étiquette de sensibilité pour les nouveaux contenus, et gardez le service Entrust actif pour les documents déjà protégés jusqu'à leur réétiquetage ou la fin de leur conservation.

Comment ces critères ont-ils été choisis ?

Ils suivent les sections d'un appel d'offres client DKE et gestion des clés : support, couverture DKE Microsoft, administration, supervision, disponibilité, hébergement, stockage des clés et réversibilité. Chaque cellule renvoie au document public sur lequel elle s'appuie.

Sources

Chaque affirmation de cette page, sourcée

Entrust

DuoKey

Parlons des décisions qui comptent pour votre programme de sécurité.

Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.

Demander une démo Découvrir les solutions