DuoKey

Double Key Encryption Microsoft 365

DuoKey vs Fortanix

Le service DKE de Fortanix repose sur l'implémentation DKE open source de Microsoft, avec des clés conservées dans Fortanix Data Security Manager. DSM peut être en SaaS ou sur site ; le service web DKE lui-même est déployé et exploité par le client sur IIS ou Azure App Service. DuoKey est un service DKE suisse opéré par DuoKey (ISO 27001, SOC 2, TISAX AL3) ou déployé sur votre propre infrastructure, avec des clés protégées par calcul multipartite (MPC) ou par un HSM.

DuoKey

33 / 33

Fortanix

18 / 33

Capacités comparées prises en charge, d'après la documentation publique.

Réserver un appel→Voir le comparatif

Uniquement chez DuoKey

  • Déchiffrement autorisé par groupes Entra ID
  • Multi-tenant et tenants partenaires (B2B)
  • Accès contextuel à l'usage de la clé
  • Supervision SNMP
  • Règles d'accès modifiées à chaud
  • Règles de blocage prioritaires sur les autorisations
  • Journal d'audit infalsifiable
  • mTLS optionnel sur les appels de déchiffrement
  • Test de clé de bout en bout intégré
  • Rotation sans nouvelle étiquette Purview
  • Service DKE hébergé par l'éditeur (SaaS)
  • Inscription d'application Entra ID automatique
  • Aucun runtime ou OS en fin de vie
  • Stockage des clés FIPS 140 niveau 3
  • Clé jamais reconstituée en un seul endroit

Critère par critère

DuoKey et Fortanix, côte à côte

CapacitéDuoKeyFortanix

Éditeur et support

1Support 24/7 avec délais de réponse contractuels

Support 24 h/24 avec des délais de réponse contractuels pour les incidents critiques.

Oui24/7 en Platinum, réponse en 1 h si critiqueSource
OuiRéponse P1 en 30 min 24x7 en PremiumSource

2Licence d'évaluation ou d'essai

Un essai gratuit ou une licence de preuve de concept pour tester avant d'acheter.

OuiPreuve de concept gratuite de 30 joursSource
OuiEssai DSM SaaS de 30 joursSource

Couverture Microsoft DKE

3Endpoint Microsoft 365 DKE natif

Répond aux appels Microsoft GetKey et Decrypt utilisés par Word, Excel, PowerPoint et Outlook.

OuiSource
OuiSource

4Déchiffrement autorisé par groupes Entra ID

Le service de clés limite lui-même le déchiffrement aux membres de groupes ou de rôles de l'annuaire.

OuiRègles par groupe Entra ID ou OktaSource
PartielListe d'e-mails ; vide, elle autorise tout le tenantSource

5Multi-tenant et tenants partenaires (B2B)

Un seul service de clés partagé entre plusieurs tenants Entra ID ou des partenaires externes.

OuiSource
Non documentéUn seul tenant dans la configuration d'exempleSource

Administration et contrôle d'accès

6SSO et MFA pour les administrateurs

Les administrateurs se connectent via le fournisseur d'identité de l'entreprise avec authentification multifacteur.

OuiOIDC, TOTP et passkeysSource
OuiSAML, OIDC, LDAP ; option 2FA obligatoireSource

7RBAC administrateur granulaire

Rôles et permissions personnalisés, limités à des clés, des services ou des unités organisationnelles.

OuiRôles limités à des unités organisationnellesSource
OuiRôles personnalisés par compte et groupeSource

8Approbation par quorum (quatre yeux)

Les opérations sensibles sur les clés exigent l'approbation de plusieurs administrateurs.

OuiM-of-N sur suppression de clé et de vault, rotation de vaultSource
OuiPolitique de quorum par groupeSource

9Accès contextuel à l'usage de la clé

Déchiffrement autorisé ou refusé selon la plage IP, le pays ou l'heure.

OuiRègles par IP, pays et horaireSource
PartielPlages IP uniquementSource

Supervision

10Journaux d'audit exportés vers un SIEM

Événements de clés et d'administration transmis à Splunk, Sentinel, QRadar ou syslog.

OuiSplunk, Sentinel, QRadar, syslog/CEFSource
OuiSplunk, syslog, Log AnalyticsSource

11Tableau de bord de supervision intégré

Tableau de bord d'état et d'usage fourni avec le produit.

OuiÉtat par service, compteurs GetKey et DecryptSource
OuiTableau de bord d'usageSource

12Supervision SNMP

Interrogation ou traps SNMP pour l'équipe d'exploitation.

OuiTraps et informs SNMP v2c/v3 ; pas d'agent à interrogerSource
PartielVM de supervision sur site uniquementSource

Zero Trust et audit

28Règles d'accès modifiées à chaud

Les règles d'accès DKE se modifient dans une interface ou une API et s'appliquent immédiatement, sans fichier de configuration ni redéploiement.

OuiPolitiques appliquées sans redémarrageSource
NonListe d'e-mails dans appsettings.jsonSource

29Règles de blocage prioritaires sur les autorisations

Règles de refus explicites pour couper le déchiffrement à un utilisateur, un groupe, un réseau ou un pays lors d'un incident.

OuiBypass > Block > Allow > refus par défautSource
Non documentéListe d'autorisation uniquementSource

30Plusieurs fournisseurs d'identité

Entra ID ainsi qu'Okta, Keycloak ou d'autres fournisseurs OIDC pour la connexion et les règles par groupe.

OuiEntra ID, Okta, Keycloak et autres OIDCSource
OuiPlateforme : SAML, OIDC, LDAPSource

31Journal d'audit infalsifiable

Chaque enregistrement d'audit est signé ou chaîné par hachage : toute modification ou suppression est détectable.

OuiHMAC-SHA256 par enregistrement et chaîne SHA-256Source
Non documentéImmuable dans l'interface ; chaînage non indiquéSource

32mTLS optionnel sur les appels de déchiffrement

Vérification d'un certificat client sur les appels de déchiffrement DKE, en plus du jeton Entra ID.

OuiCA client, sujets autorisés, en-têteSource
Non documentéCertificat serveur uniquementSource

33Test de clé de bout en bout intégré

La clé et le backend sont testés par un aller-retour wrap/unwrap avant la mise en service.

OuiVérification wrap/unwrap préalableSource
Partielcurl manuel de la clé publiqueSource

Disponibilité et cycle de vie des clés

13Cluster haute disponibilité

Nœuds actif-actif : le service de clés survit à la panne d'un nœud.

OuiCockpit N+1, 3 nœuds MPC ou plusSource
OuiCluster DSM ; service web DKE à votre chargeSource

14Déploiement multisite ou géoredondant

Survit à la perte d'un datacenter entier.

OuiCluster MPC sur trois sitesSource
OuiTrois datacenters par région SaaSSource

15Procédure de sauvegarde et de restauration des clés

Sauvegarde et restauration documentées des clés après un incident.

OuiSource
OuiSource

16Anciens documents lisibles après rotation

Le contenu protégé par une version antérieure de la clé reste lisible.

OuiAnciennes clés conservées en déchiffrement seulSource
OuiAnciennes clés gardées jusqu'au réétiquetageSource

17Rotation sans nouvelle étiquette Purview

La rotation de la clé n'impose ni nouvelle étiquette ni campagne de réétiquetage.

OuiURL d'étiquette inchangée depuis Cockpit 2.0.8Source
PartielRéétiqueter avant de supprimer les anciennes clésSource

18Rotation planifiée des clés

Rotation automatique selon un calendrier.

OuiTous les 30 jours, 6 mois, chaque année ou personnalisé ; soumis au quorumSource
OuiPolitique de rotation DSMSource

Hébergement et déploiement

19Service DKE hébergé par l'éditeur (SaaS)

L'éditeur exploite l'endpoint DKE ; rien à héberger côté client.

OuiExploité par DuoKeySource
PartielDSM SaaS ; service web DKE à votre chargeSource

20Option sur site

Exécuter toute la pile DKE dans votre propre périmètre.

OuiOpenShift ou VMSource
OuiIIS et appliances DSMSource

21Inscription d'application Entra ID automatique

L'inscription d'application DKE est créée pour vous, sans étapes manuelles dans le portail.

OuiCréée via Microsoft GraphSource
NonÉtapes manuelles dans le portail AzureSource

22Aucun runtime ou OS en fin de vie

Le déploiement documenté ne dépend d'aucun framework ni système d'exploitation non supporté.

OuiOpenShift 4.x supportéSource
Non.NET Core 3.1 (fin de vie déc. 2022)Source

Stockage des clés, conformité et réversibilité

23Stockage des clés FIPS 140 niveau 3

Clés protégées par un module validé FIPS 140-2 ou 140-3 niveau 3.

OuiAvec un backend HSM comme SecurosysSource
PartielAppliances niveau 3 ; SaaS en mode non FIPSSource

24Clé jamais reconstituée en un seul endroit

Calcul multipartite (MPC) ou cryptographie à seuil : aucun nœud ne détient la clé entière.

OuiAvec le backend de clés MPCSource
Non documenté

25Éditeur certifié ISO/IEC 27001

Les opérations propres de l'éditeur sont certifiées ISO/IEC 27001.

OuiISO 27001, SOC 2, TISAX AL3Source
OuiSource

26Région d'hébergement au choix du client

Choisissez où sont hébergés le service de clés et les clés.

OuiUE, Suisse ou USSource
OuiRégion choisie à l'inscriptionSource

27Export des clés dans des formats standard

Réversibilité : les clés peuvent être exportées via KMIP, PKCS#8 ou PKCS#12.

OuiPKCS#8, PKCS#12, encapsulation RSA-AES, KMIP (clés exportables)Source
OuiKMIP et PKCS#11Source

Pourquoi choisir DuoKey

Les différences clés avec Fortanix

01

Un service DKE géré, pas une application web à exploiter

Le guide de Fortanix vous fait installer le SDK .NET Core 3.1 (en fin de vie depuis décembre 2022) et l'hébergement .NET 6, décompresser le service dans C:\inetpub\wwwroot, modifier appsettings.json et inscrire l'application Azure à la main. DuoKey exploite le service DKE pour vous.

02

Une autorisation qui va au-delà d'une liste d'e-mails

Fortanix autorise le déchiffrement via une liste d'e-mails ; si la liste est vide, tous les utilisateurs du tenant sont autorisés. DuoKey applique des règles par groupe, IP, pays et horaire à chaque déchiffrement.

03

Une rotation sans réétiquetage

Fortanix conseille de conserver les anciennes clés jusqu'à ce que tous les documents soient réétiquetés. DuoKey conserve les anciennes clés en déchiffrement seul et laisse l'URL de l'étiquette Purview inchangée.

04

MPC et tenants partenaires

Le backend MPC de DuoKey ne reconstitue jamais la clé, et le service DKE prend en charge nativement les tenants partenaires B2B. Ni l'un ni l'autre n'est documenté pour le service DKE de Fortanix.

05

Garde des clés : appliance, enclave ou MPC

Fortanix documente DSM sur appliances FX2200 ou FX3400, en appliance virtuelle (avec Intel SGX lorsque la plateforme le permet), en SaaS, qui fonctionne en mode non FIPS, ou en combinaison hybride. Dans tous les cas, les clés sont conservées dans le cluster DSM. Le backend MPC de DuoKey divise chaque clé en parts sur des nœuds indépendants : aucun hôte ne la détient seul. Un backend HSM Securosys est disponible lorsqu'un périmètre matériel validé est exigé.

06

Une alternative à Fortanix DSM au-delà du DKE

DSM est une plateforme de gestion des clés généraliste, avec les interfaces PKCS#11, CNG et JCE et des intégrations cloud dont AWS XKS et Google Cloud EKM. Pour la gestion des clés au-delà de Microsoft 365, DuoKey fournit un KMS avec un serveur KMIP 2.1 et une bibliothèque PKCS#11, du HYOK pour AWS XKS (y compris Snowflake Tri-Secret Secure), Azure EKM et Microsoft 365 DKE, et des intégrations pour Oracle TDE, SQL Server EKM, VMware vCenter, OpenBao et HashiCorp Vault, le tout piloté depuis une seule console.

Les points forts de Fortanix

DSM est une plateforme solide : support 24/7, essai de 30 jours, connexion SAML et OIDC, rôles personnalisés, politiques de quorum, export SIEM, rotation planifiée, SaaS régional et interfaces KMIP/PKCS#11. Elle se déploie sur des appliances matérielles FX2200 ou FX3400, en appliances virtuelles, en SaaS ou en modèle hybride, et sert de gestionnaire de clés externe pour AWS XKS et Google Cloud EKM. Si DSM est déjà votre plateforme de clés et que l'exploitation du service web DKE ne vous pose pas de problème, Fortanix peut convenir.

FAQ

DuoKey est-il une alternative à Fortanix DSM ?

Oui, pour le DKE Microsoft 365 et plus largement pour la gestion des clés d'entreprise. DuoKey fournit un KMS avec une garde des clés par MPC ou adossée à un HSM, un serveur KMIP 2.1, une bibliothèque PKCS#11 et des intégrations HYOK pour AWS XKS, Azure EKM et Microsoft 365 DKE, ainsi qu'Oracle TDE et SQL Server EKM. Listez les interfaces et intégrations DSM que vous utilisez aujourd'hui (par exemple des clients CNG ou JCE, ou Google Cloud EKM) et testez chacune avant de planifier une migration.

Quelle différence de garde des clés entre Fortanix DSM et DuoKey ?

Fortanix conserve les clés dans un cluster DSM : appliances matérielles FX2200 ou FX3400, appliances virtuelles pouvant utiliser des enclaves Intel SGX, ou le SaaS de Fortanix, qui fonctionne en mode non FIPS selon sa documentation. Le backend MPC de DuoKey divise chaque clé en parts sur des nœuds indépendants et calcule avec elles conjointement : aucun hôte ni administrateur ne détient la clé complète. Lorsqu'un matériel certifié est exigé, DuoKey propose aussi des coffres adossés à des HSM Securosys.

DuoKey est-il une alternative à Fortanix pour le DKE Microsoft 365 ?

Oui. DuoKey fournit la seconde clé détenue par le client et le service DKE appelé par Microsoft 365, opéré par DuoKey ou déployé sur votre propre infrastructure.

Peut-on migrer de Fortanix vers DuoKey ?

Oui. Créez un service DKE DuoKey et une étiquette de sensibilité pour les nouveaux contenus, et gardez le service Fortanix actif pour les documents déjà protégés jusqu'à leur réétiquetage ou la fin de leur conservation.

Comment ces critères ont-ils été choisis ?

Ils suivent les sections d'un appel d'offres client DKE et gestion des clés : support, couverture DKE Microsoft, administration, supervision, disponibilité, hébergement, stockage des clés et réversibilité. Chaque cellule renvoie au document public sur lequel elle s'appuie.

Sources

Chaque affirmation de cette page, sourcée

Fortanix

  1. [1]support.fortanix.comcritères 1https://support.fortanix.com/docs/fortanix-support
  2. [2]support.fortanix.comcritères 2https://support.fortanix.com/docs/sign-up-for-fortanix-data-security-manager-saas
  3. [3]support.fortanix.comcritères 3, 4, 5, 8, 28, 29, 32, 33, 16, 17, 19, 20, 21, 22, 26https://support.fortanix.com/docs/fortanix-dsm-with-double-key-encryption-for-microsoft-365
  4. [4]support.fortanix.comcritères 6https://support.fortanix.com/docs/users-guide-authentication
  5. [5]support.fortanix.comcritères 7https://support.fortanix.com/docs/users-guide-custom-role
  6. [6]support.fortanix.comcritères 9https://support.fortanix.com/docs/fortanix-data-security-manager-sysadmin-settings-ip-policy
  7. [7]support.fortanix.comcritères 10, 31https://support.fortanix.com/docs/fortanix-dsm-logging
  8. [8]support.fortanix.comcritères 11https://support.fortanix.com/docs/fortanix-dsm-usage-metrics
  9. [9]support.fortanix.comcritères 12https://support.fortanix.com/docs/fortanix-data-security-manager-monitoring-and-alerting-solution
  10. [10]support.fortanix.comcritères 30https://support.fortanix.com/docs/users-guide-single-sign-on
  11. [11]support.fortanix.comcritères 13https://support.fortanix.com/docs/fortanix-data-security-manager-deployment-best-practices
  12. [12]support.fortanix.comcritères 14https://support.fortanix.com/docs/fortanix-dsm-saas-architecture
  13. [13]support.fortanix.comcritères 15https://support.fortanix.com/docs/introduction-to-fortanix-dsm-backup-and-restore
  14. [14]support.fortanix.comcritères 18https://support.fortanix.com/docs/clients-terraform-provider
  15. [15]support.fortanix.comcritères 23https://support.fortanix.com/docs/fortanix-data-security-manager-deployment-options
  16. [16]fortanix.comcritères 25https://fortanix.com/company/pr/2023/01/fortanix-receives-iso-27001-certification-to-deliver-the-highest-level-of-information-security-and-risk-management-diligence
  17. [17]support.fortanix.comcritères 27https://support.fortanix.com/docs/what-languages-and-interfaces-are-supported-by-fortanix-data-security-manager

DuoKey

  1. [1]docs.duokey.comcritères 1, 2https://docs.duokey.com/docs/why-mpc
  2. [2]docs.duokey.comcritères 3https://docs.duokey.com/docs/double-key-encryption/cockpit-v2/overview
  3. [3]docs.duokey.comcritères 4, 29https://docs.duokey.com/docs/double-key-encryption/cockpit-v2/access-policies
  4. [4]docs.duokey.comcritères 5https://docs.duokey.com/docs/double-key-encryption/operations/b2b-collaboration
  5. [5]docs.duokey.comcritères 6, 31https://docs.duokey.com/docs/cockpit/security
  6. [6]docs.duokey.comcritères 7https://docs.duokey.com/docs/cockpit/administration
  7. [7]docs.duokey.comcritères 8https://docs.duokey.com/docs/cockpit/key-policies
  8. [8]docs.duokey.comcritères 9https://docs.duokey.com/docs/cockpit/access-policies
  9. [9]docs.duokey.comcritères 10https://docs.duokey.com/docs/openshift-on-prem/security/compliance-audit
  10. [10]docs.duokey.comcritères 11, 32, 33https://docs.duokey.com/docs/double-key-encryption/setup/dke-service-deployment
  11. [11]docs.duokey.comcritères 12https://docs.duokey.com/docs/cockpit/snmp-traps
  12. [12]docs.duokey.comcritères 28https://docs.duokey.com/docs/double-key-encryption/operations/zero-trust-access-control
  13. [13]docs.duokey.comcritères 30https://docs.duokey.com/docs/developer/administration-api
  14. [14]docs.duokey.comcritères 13https://docs.duokey.com/docs/openshift-on-prem/vm-deployment
  15. [15]docs.duokey.comcritères 14https://docs.duokey.com/docs/openshift-on-prem/mpc-cluster
  16. [16]docs.duokey.comcritères 15https://docs.duokey.com/docs/openshift-on-prem/operations/backup-recovery
  17. [17]docs.duokey.comcritères 16, 17, 21https://docs.duokey.com/docs/double-key-encryption/cockpit-v2/dke-configuration
  18. [18]docs.duokey.comcritères 18https://docs.duokey.com/docs/double-key-encryption/cockpit-v2/key-rotation
  19. [19]docs.duokey.comcritères 19https://docs.duokey.com/docs/double-key-encryption/knowledgebase
  20. [20]docs.duokey.comcritères 20, 22, 24https://docs.duokey.com/docs/openshift-on-prem/prerequisites
  21. [21]docs.duokey.comcritères 23https://docs.duokey.com/docs/oracle-tde/overview
  22. [22]duokey.comcritères 25https://duokey.com/en/compliance/iso-27001
  23. [23]docs.duokey.comcritères 26https://docs.duokey.com/docs/double-key-encryption/faq
  24. [24]docs.duokey.comcritères 27https://docs.duokey.com/docs/cockpit/key-export

Parlons des décisions qui comptent pour votre programme de sécurité.

Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.

Demander une démoDécouvrir les solutions