Alternative à Thales CipherTrust : DuoKey vs Thales

Uniquement chez DuoKey

SSO et MFA pour les administrateurs
Accès contextuel à l'usage de la clé
Tableau de bord de supervision intégré
Règles de blocage prioritaires sur les autorisations
Journal d'audit infalsifiable
mTLS optionnel sur les appels de déchiffrement
Test de clé de bout en bout intégré
Déploiement multisite ou géoredondant
Rotation sans nouvelle étiquette Purview
Inscription d'application Entra ID automatique
Aucun runtime ou OS en fin de vie
Clé jamais reconstituée en un seul endroit

Critère par critère

DuoKey et Thales, côte à côte

CapacitéDuoKeyThales

Éditeur et support

1Support 24/7 avec délais de réponse contractuels

Support 24 h/24 avec des délais de réponse contractuels pour les incidents critiques.

Oui24/7 en Platinum, réponse en 1 h si critiqueSource

Oui24x7x365 ; 1 h pour les incidents critiquesSource

2Licence d'évaluation ou d'essai

Un essai gratuit ou une licence de preuve de concept pour tester avant d'acheter.

OuiPreuve de concept gratuite de 30 joursSource

OuiEssai Community Edition de 90 joursSource

Couverture Microsoft DKE

3Endpoint Microsoft 365 DKE natif

Répond aux appels Microsoft GetKey et Decrypt utilisés par Word, Excel, PowerPoint et Outlook.

OuiSource

4Déchiffrement autorisé par groupes Entra ID

Le service de clés limite lui-même le déchiffrement aux membres de groupes ou de rôles de l'annuaire.

OuiRègles par groupe Entra ID ou OktaSource

OuiE-mail ou groupe Active DirectorySource

5Multi-tenant et tenants partenaires (B2B)

Un seul service de clés partagé entre plusieurs tenants Entra ID ou des partenaires externes.

OuiSource

OuiDKE Authorized TenantsSource

Administration et contrôle d'accès

6SSO et MFA pour les administrateurs

Les administrateurs se connectent via le fournisseur d'identité de l'entreprise avec authentification multifacteur.

OuiOIDC, TOTP et passkeysSource

PartielOIDC/LDAP ; 2FA par certificat utilisateurSource

7RBAC administrateur granulaire

Rôles et permissions personnalisés, limités à des clés, des services ou des unités organisationnelles.

OuiRôles limités à des unités organisationnellesSource

OuiGroupes et permissions par ressourceSource

8Approbation par quorum (quatre yeux)

Les opérations sensibles sur les clés exigent l'approbation de plusieurs administrateurs.

OuiM-of-N sur suppression de clé et de vault, rotation de vaultSource

OuiQuorums sur suppression, sauvegarde, restaurationSource

9Accès contextuel à l'usage de la clé

Déchiffrement autorisé ou refusé selon la plage IP, le pays ou l'heure.

OuiRègles par IP, pays et horaireSource

Non documentéE-mail ou rôle uniquementSource

Supervision

10Journaux d'audit exportés vers un SIEM

Événements de clés et d'administration transmis à Splunk, Sentinel, QRadar ou syslog.

OuiSplunk, Sentinel, QRadar, syslog/CEFSource

OuiSyslog, Elasticsearch, app SplunkSource

11Tableau de bord de supervision intégré

Tableau de bord d'état et d'usage fourni avec le produit.

OuiÉtat par service, compteurs GetKey et DecryptSource

PartielVia l'app Splunk ou PrometheusSource

12Supervision SNMP

Interrogation ou traps SNMP pour l'équipe d'exploitation.

OuiTraps et informs SNMP v2c/v3 ; pas d'agent à interrogerSource

OuiSNMP v1, v2c, v3Source

Zero Trust et audit

28Règles d'accès modifiées à chaud

Les règles d'accès DKE se modifient dans une interface ou une API et s'appliquent immédiatement, sans fichier de configuration ni redéploiement.

OuiPolitiques appliquées sans redémarrageSource

OuiTenants, e-mails, rôles via interface ou APISource

29Règles de blocage prioritaires sur les autorisations

Règles de refus explicites pour couper le déchiffrement à un utilisateur, un groupe, un réseau ou un pays lors d'un incident.

OuiBypass > Block > Allow > refus par défautSource

PartielDésactivation d'un endpoint entier uniquementSource

30Plusieurs fournisseurs d'identité

Entra ID ainsi qu'Okta, Keycloak ou d'autres fournisseurs OIDC pour la connexion et les règles par groupe.

OuiEntra ID, Okta, Keycloak et autres OIDCSource

OuiAdmin plateforme : groupes LDAP et OIDCSource

31Journal d'audit infalsifiable

Chaque enregistrement d'audit est signé ou chaîné par hachage : toute modification ou suppression est détectable.

OuiHMAC-SHA256 par enregistrement et chaîne SHA-256Source

PartielLots de journaux téléchargés signésSource

32mTLS optionnel sur les appels de déchiffrement

Vérification d'un certificat client sur les appels de déchiffrement DKE, en plus du jeton Entra ID.

OuiCA client, sujets autorisés, en-têteSource

Non documentéSeulement pour un load balancer en frontalSource

33Test de clé de bout en bout intégré

La clé et le backend sont testés par un aller-retour wrap/unwrap avant la mise en service.

OuiVérification wrap/unwrap préalableSource

Non documenté

Disponibilité et cycle de vie des clés

13Cluster haute disponibilité

Nœuds actif-actif : le service de clés survit à la panne d'un nœud.

OuiCockpit N+1, 3 nœuds MPC ou plusSource

OuiSource

14Déploiement multisite ou géoredondant

Survit à la perte d'un datacenter entier.

OuiCluster MPC sur trois sitesSource

PartielReprise après sinistre annoncée pour le SaaSSource

15Procédure de sauvegarde et de restauration des clés

Sauvegarde et restauration documentées des clés après un incident.

OuiSource

16Anciens documents lisibles après rotation

Le contenu protégé par une version antérieure de la clé reste lisible.

OuiAnciennes clés conservées en déchiffrement seulSource

OuiSource

17Rotation sans nouvelle étiquette Purview

La rotation de la clé n'impose ni nouvelle étiquette ni campagne de réétiquetage.

OuiURL d'étiquette inchangée depuis Cockpit 2.0.8Source

PartielNouvelle version, même endpoint ; non indiquéSource

18Rotation planifiée des clés

Rotation automatique selon un calendrier.

OuiTous les 30 jours, 6 mois, chaque année ou personnalisé ; soumis au quorumSource

OuiCalendrier de rotation par endpoint DKESource

Hébergement et déploiement

19Service DKE hébergé par l'éditeur (SaaS)

L'éditeur exploite l'endpoint DKE ; rien à héberger côté client.

OuiExploité par DuoKeySource

OuiCipherTrust as a Service, UE ou USSource

20Option sur site

Exécuter toute la pile DKE dans votre propre périmètre.

OuiOpenShift ou VMSource

OuiSource

21Inscription d'application Entra ID automatique

L'inscription d'application DKE est créée pour vous, sans étapes manuelles dans le portail.

OuiCréée via Microsoft GraphSource

NonÉtapes manuelles dans le portail AzureSource

22Aucun runtime ou OS en fin de vie

Le déploiement documenté ne dépend d'aucun framework ni système d'exploitation non supporté.

OuiOpenShift 4.x supportéSource

PartielCCKM supporté ; image Luna Key Broker sous CentOS 7Source

Stockage des clés, conformité et réversibilité

23Stockage des clés FIPS 140 niveau 3

Clés protégées par un module validé FIPS 140-2 ou 140-3 niveau 3.

OuiAvec un backend HSM comme SecurosysSource

OuiHSM Luna, FIPS 140-3 niveau 3Source

24Clé jamais reconstituée en un seul endroit

Calcul multipartite (MPC) ou cryptographie à seuil : aucun nœud ne détient la clé entière.

OuiAvec le backend de clés MPCSource

Non documenté

25Éditeur certifié ISO/IEC 27001

Les opérations propres de l'éditeur sont certifiées ISO/IEC 27001.

OuiISO 27001, SOC 2, TISAX AL3Source

OuiOpérations DPoD, ISO 27001:2022Source

26Région d'hébergement au choix du client

Choisissez où sont hébergés le service de clés et les clés.

OuiUE, Suisse ou USSource

OuiUE ou US pour le SaaSSource

27Export des clés dans des formats standard

Réversibilité : les clés peuvent être exportées via KMIP, PKCS#8 ou PKCS#12.

OuiPKCS#8, PKCS#12, encapsulation RSA-AES, KMIP (clés exportables)Source

OuiPKCS#1, #8, #12 et KMIPSource

Pourquoi choisir DuoKey

Les différences clés avec Thales

Le contexte à chaque déchiffrement

CipherTrust autorise DKE par e-mail ou par groupe Active Directory, tenant par tenant. DuoKey ajoute à chaque déchiffrement des règles par plage IP, pays et horaire : un utilisateur valide hors d'un contexte autorisé reste refusé.

Aucune clé en un seul endroit

Thales protège les clés DKE dans des HSM Luna. Avec le backend MPC de DuoKey, la clé est répartie entre des nœuds indépendants et jamais reconstituée : aucun équipement ni administrateur ne peut l'utiliser seul.

Aucun câblage Azure manuel

Thales documente l'inscription d'application Entra ID sous forme d'étapes manuelles dans le portail, et n'autorise qu'un service DKE par instance CipherTrust Manager. DuoKey crée l'inscription d'application via Microsoft Graph et exécute autant de services DKE que nécessaire.

Le cas Luna Key Broker

Le guide public Luna Key Broker de Thales compte plus de 50 commandes manuelles sur AKS, utilise une image CentOS 7 (en fin de vie depuis juin 2024) et fournit une politique d'exemple qui admet tout utilisateur doté d'un UPN. Le guide se présente lui-même comme une démonstration de base.

Une alternative à CipherTrust au-delà du DKE

CipherTrust Manager est un gestionnaire de clés généraliste, avec KMIP et des connecteurs pour le chiffrement cloud, bases de données et fichiers. Pour la gestion des clés au-delà de Microsoft 365, DuoKey fournit un KMS avec un serveur KMIP 2.1, une bibliothèque PKCS#11 et des intégrations natives pour AWS XKS, Azure EKM, Salesforce, Snowflake, Oracle TDE, SQL Server EKM, VMware vCenter, OpenBao et HashiCorp Vault, le tout piloté depuis une seule console.

Du HYOK sans clé complète en un seul endroit

CCKM répond aux requêtes HYOK d'AWS XKS, Google Cloud EKM, Google Workspace CSE et des clés en cache Salesforce, avec des clés créées dans CipherTrust Manager ou un HSM Luna. DuoKey détient les clés HYOK pour AWS XKS (y compris Snowflake Tri-Secret Secure), Azure EKM et Microsoft 365 DKE, et avec son backend MPC la clé n'est jamais reconstituée sur un seul hôte.

Les points forts de Thales

CipherTrust est une solution mature : support 24/7 avec réponse en une heure pour les incidents critiques, approbations par quorum, SNMP, rotation DKE planifiée, autorisation par groupe Active Directory, export de clés standard et offre hébergée dans l'UE ou aux États-Unis. Au-delà du DKE, CipherTrust Manager existe en appliance physique avec HSM intégré (k570) ou avec un HSM externe comme racine de confiance (k470), en appliance virtuelle et en service, et CCKM couvre les clés natives, BYOK et HYOK sur AWS, Azure, Google Cloud, IBM Cloud, Oracle Cloud, Salesforce et SAP. Si vous utilisez déjà CipherTrust pour d'autres usages, y regrouper DKE est un choix raisonnable.

FAQ

DuoKey est-il une alternative à Thales CipherTrust ?

Oui, pour le DKE Microsoft 365 et plus largement pour la gestion des clés d'entreprise. DuoKey fournit un KMS avec une garde des clés par MPC ou adossée à un HSM, un serveur KMIP 2.1, une bibliothèque PKCS#11 et des intégrations comme AWS XKS, Azure EKM, Salesforce, Snowflake, Oracle TDE et SQL Server EKM. CipherTrust inclut aussi des produits de protection des données comme le chiffrement transparent et la tokenisation : listez ceux que vous utilisez avant de planifier une migration.

Quelle différence de garde des clés entre CipherTrust et DuoKey ?

CipherTrust Manager protège ses clés avec un HSM intégré (k570), avec un HSM externe comme Luna en racine de confiance, ou de façon logicielle sur les appliances k470 et virtuelles qui n'en ont pas : dans tous les cas, la clé complète se trouve dans une seule appliance ou un seul HSM. Le backend MPC de DuoKey divise chaque clé en parts sur des nœuds indépendants et calcule avec elles conjointement : aucun équipement ni administrateur ne détient la clé complète. Lorsqu'un périmètre matériel validé est exigé, DuoKey propose aussi des coffres adossés à des HSM Securosys.

DuoKey est-il une alternative à Thales pour le DKE Microsoft 365 ?

Oui. DuoKey fournit la seconde clé détenue par le client et le service DKE appelé par Microsoft 365, opéré par DuoKey ou déployé sur votre propre infrastructure.

Peut-on migrer de Thales vers DuoKey ?

Oui. Créez un service DKE DuoKey et une étiquette de sensibilité pour les nouveaux contenus, et gardez le service Thales actif pour les documents déjà protégés jusqu'à leur réétiquetage ou la fin de leur conservation.

Comment ces critères ont-ils été choisis ?

Ils suivent les sections d'un appel d'offres client DKE et gestion des clés : support, couverture DKE Microsoft, administration, supervision, disponibilité, hébergement, stockage des clés et réversibilité. Chaque cellule renvoie au document public sur lequel elle s'appuie.

Sources

Chaque affirmation de cette page, sourcée

Thales

DuoKey

Parlons des décisions qui comptent pour votre programme de sécurité.

Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.

Demander une démo Découvrir les solutions