DuoKey

Microsoft 365 Double Key Encryption

DuoKey vs Utimaco

L'offre DKE d'Utimaco est DKE Anchor, un logiciel que le client installe sous Windows ou Linux devant un HSM Utimaco, sur site ou dans l'offre HSM as a Service d'Utimaco. DuoKey est un service DKE suisse opéré par DuoKey (ISO 27001, SOC 2, TISAX AL3) ou déployé sur votre propre infrastructure, avec des clés protégées par calcul multipartite (MPC) ou par un HSM.

DuoKey

30 / 33

Utimaco

8 / 33

Capacités comparées prises en charge, d'après la documentation publique.

Réserver un appel→Voir le comparatif

Uniquement chez DuoKey

  • Licence d'évaluation ou d'essai
  • Déchiffrement autorisé par groupes Entra ID
  • SSO et MFA pour les administrateurs
  • RBAC administrateur granulaire
  • Approbation par quorum (quatre yeux)
  • Accès contextuel à l'usage de la clé
  • Journaux d'audit exportés vers un SIEM
  • Tableau de bord de supervision intégré
  • Règles d'accès modifiées à chaud
  • Règles de blocage prioritaires sur les autorisations
  • Plusieurs fournisseurs d'identité
  • Journal d'audit infalsifiable
  • mTLS optionnel sur les appels de déchiffrement
  • Test de clé de bout en bout intégré
  • Cluster haute disponibilité
  • Déploiement multisite ou géoredondant
  • Procédure de sauvegarde et de restauration des clés
  • Rotation sans nouvelle étiquette Purview
  • Service DKE hébergé par l'éditeur (SaaS)
  • Inscription d'application Entra ID automatique
  • Aucun runtime ou OS en fin de vie
  • Clé jamais reconstituée en un seul endroit
  • Région d'hébergement au choix du client

Critère par critère

DuoKey et Utimaco, côte à côte

CapacitéDuoKeyUtimaco

Éditeur et support

1Support 24/7 avec délais de réponse contractuels

Support 24 h/24 avec des délais de réponse contractuels pour les incidents critiques.

Oui24/7 en Platinum, réponse en 1 h si critiqueSource
Oui24x7 avec le support Premium PlusSource

2Licence d'évaluation ou d'essai

Un essai gratuit ou une licence de preuve de concept pour tester avant d'acheter.

OuiPreuve de concept gratuite de 30 joursSource
PartielSimulateur HSM et essai HSMaaS ; pas d'essai DKESource

Couverture Microsoft DKE

3Endpoint Microsoft 365 DKE natif

Répond aux appels Microsoft GetKey et Decrypt utilisés par Word, Excel, PowerPoint et Outlook.

OuiSource
OuiSource

4Déchiffrement autorisé par groupes Entra ID

Le service de clés limite lui-même le déchiffrement aux membres de groupes ou de rôles de l'annuaire.

OuiRègles par groupe Entra ID ou OktaSource
NonPermissions par utilisateur uniquement, par e-mailSource

5Multi-tenant et tenants partenaires (B2B)

Un seul service de clés partagé entre plusieurs tenants Entra ID ou des partenaires externes.

OuiSource
OuiTenants externes dans validIssuersSource

Administration et contrôle d'accès

6SSO et MFA pour les administrateurs

Les administrateurs se connectent via le fournisseur d'identité de l'entreprise avec authentification multifacteur.

OuiOIDC, TOTP et passkeysSource
PartielPas de console d'admin ; cartes à puce HSMSource

7RBAC administrateur granulaire

Rôles et permissions personnalisés, limités à des clés, des services ou des unités organisationnelles.

OuiRôles limités à des unités organisationnellesSource
PartielSéparation des tâches HSM uniquementSource

8Approbation par quorum (quatre yeux)

Les opérations sensibles sur les clés exigent l'approbation de plusieurs administrateurs.

OuiM-of-N sur suppression de clé et de vault, rotation de vaultSource
Partieln-of-m HSM, pas par opération DKESource

9Accès contextuel à l'usage de la clé

Déchiffrement autorisé ou refusé selon la plage IP, le pays ou l'heure.

OuiRègles par IP, pays et horaireSource
Non documenté

Supervision

10Journaux d'audit exportés vers un SIEM

Événements de clés et d'administration transmis à Splunk, Sentinel, QRadar ou syslog.

OuiSplunk, Sentinel, QRadar, syslog/CEFSource
PartielFichiers journaux locaux uniquementSource

11Tableau de bord de supervision intégré

Tableau de bord d'état et d'usage fourni avec le produit.

OuiÉtat par service, compteurs GetKey et DecryptSource
PartielModule de supervision HSM séparéSource

12Supervision SNMP

Interrogation ou traps SNMP pour l'équipe d'exploitation.

Non documentéAbsent de la doc publique
OuiDiagnostic HSM à distanceSource

Zero Trust et audit

28Règles d'accès modifiées à chaud

Les règles d'accès DKE se modifient dans une interface ou une API et s'appliquent immédiatement, sans fichier de configuration ni redéploiement.

OuiPolitiques appliquées sans redémarrageSource
PartielOutil en ligne de commande, par utilisateurSource

29Règles de blocage prioritaires sur les autorisations

Règles de refus explicites pour couper le déchiffrement à un utilisateur, un groupe, un réseau ou un pays lors d'un incident.

OuiBypass > Block > Allow > refus par défautSource
PartielRetrait d'un utilisateur d'une cléSource

30Plusieurs fournisseurs d'identité

Entra ID ainsi qu'Okta, Keycloak ou d'autres fournisseurs OIDC pour la connexion et les règles par groupe.

OuiEntra ID, Okta, Keycloak et autres OIDCSource
NonUtilisateurs Entra ID individuels uniquementSource

31Journal d'audit infalsifiable

Chaque enregistrement d'audit est signé ou chaîné par hachage : toute modification ou suppression est détectable.

OuiHMAC-SHA256 par enregistrement et chaîne SHA-256Source
Non documentéFichiers d'audit en clairSource

32mTLS optionnel sur les appels de déchiffrement

Vérification d'un certificat client sur les appels de déchiffrement DKE, en plus du jeton Entra ID.

OuiCA client, sujets autorisés, en-têteSource
Non documentéKeystore serveur uniquementSource

33Test de clé de bout en bout intégré

La clé et le backend sont testés par un aller-retour wrap/unwrap avant la mise en service.

OuiVérification wrap/unwrap préalableSource
PartielTest manuel dans OfficeSource

Disponibilité et cycle de vie des clés

13Cluster haute disponibilité

Nœuds actif-actif : le service de clés survit à la panne d'un nœud.

OuiCockpit N+1, 3 nœuds MPC ou plusSource
PartielGuide avec un seul HSM ; HA en HSMaaSSource

14Déploiement multisite ou géoredondant

Survit à la perte d'un datacenter entier.

OuiCluster MPC sur trois sitesSource
PartielDeux datacenters par zone en HSMaaSSource

15Procédure de sauvegarde et de restauration des clés

Sauvegarde et restauration documentées des clés après un incident.

OuiSource
PartielSauvegarde HSM génériqueSource

16Anciens documents lisibles après rotation

Le contenu protégé par une version antérieure de la clé reste lisible.

OuiAnciennes clés conservées en déchiffrement seulSource
OuiVersion de clé stockée avec le documentSource

17Rotation sans nouvelle étiquette Purview

La rotation de la clé n'impose ni nouvelle étiquette ni campagne de réétiquetage.

OuiURL d'étiquette inchangée depuis Cockpit 2.0.8Source
PartielVersions sous une même clé ; non indiquéSource

18Rotation planifiée des clés

Rotation automatique selon un calendrier.

Non documentéRotation manuelle en un clic documentée
Non documenté

Hébergement et déploiement

19Service DKE hébergé par l'éditeur (SaaS)

L'éditeur exploite l'endpoint DKE ; rien à héberger côté client.

OuiExploité par DuoKeySource
PartielHSM as a Service ; service DKE à votre chargeSource

20Option sur site

Exécuter toute la pile DKE dans votre propre périmètre.

OuiOpenShift ou VMSource
OuiSource

21Inscription d'application Entra ID automatique

L'inscription d'application DKE est créée pour vous, sans étapes manuelles dans le portail.

OuiCréée via Microsoft GraphSource
NonÉtapes manuelles dans le portail AzureSource

22Aucun runtime ou OS en fin de vie

Le déploiement documenté ne dépend d'aucun framework ni système d'exploitation non supporté.

OuiOpenShift 4.x supportéSource
PartielTesté sur CentOS 8.2 (fin de vie)Source

Stockage des clés, conformité et réversibilité

23Stockage des clés FIPS 140 niveau 3

Clés protégées par un module validé FIPS 140-2 ou 140-3 niveau 3.

OuiAvec un backend HSM comme SecurosysSource
OuiFIPS 140-2 niveau 3Source

24Clé jamais reconstituée en un seul endroit

Calcul multipartite (MPC) ou cryptographie à seuil : aucun nœud ne détient la clé entière.

OuiAvec le backend de clés MPCSource
NonClé générée et stockée dans un seul HSMSource

25Éditeur certifié ISO/IEC 27001

Les opérations propres de l'éditeur sont certifiées ISO/IEC 27001.

OuiISO 27001, SOC 2, TISAX AL3Source
OuiPérimètre : HSM as a ServiceSource

26Région d'hébergement au choix du client

Choisissez où sont hébergés le service de clés et les clés.

OuiUE, Suisse ou USSource
Non documenté

27Export des clés dans des formats standard

Réversibilité : les clés peuvent être exportées via KMIP, PKCS#8 ou PKCS#12.

Non documentéClés marquées non exportablesSource
PartielPKCS#11 ; export de clé DKE non indiquéSource

Pourquoi choisir DuoKey

Les différences clés avec Utimaco

01

Des groupes, pas des utilisateurs un par un

DKE Anchor accorde les permissions de déchiffrement utilisateur par utilisateur, par adresse e-mail. DuoKey autorise par groupe Entra ID et ajoute des règles par IP, pays et horaire.

02

Des journaux exploitables par votre SOC

Le guide d'Utimaco documente des fichiers journaux locaux avec rotation quotidienne. DuoKey exporte les événements d'audit vers Splunk, Sentinel, QRadar ou syslog, et affiche en direct l'état et les métriques de requêtes par service.

03

Rien à installer

DKE Anchor est installé et exploité par le client, avec une inscription d'application Azure manuelle et des plateformes testées qui incluent CentOS 8.2, désormais en fin de vie. DuoKey exploite le service DKE et crée l'inscription d'application pour vous.

04

Le MPC plutôt qu'un HSM unique

Utimaco génère et stocke la clé DKE dans un seul HSM. Avec le backend MPC de DuoKey, la clé n'est jamais reconstituée en un seul endroit.

Les points forts de Utimaco

Utimaco apporte des HSM certifiés FIPS 140-2 niveau 3 et Common Criteria, SNMP, un support premium 24/7, les tenants B2B et le déchiffrement avec des versions de clé antérieures. C'est un choix naturel pour les organisations qui exploitent déjà des HSM Utimaco.

FAQ

DuoKey est-il une alternative à Utimaco pour le DKE Microsoft 365 ?

Oui. DuoKey fournit la seconde clé détenue par le client et le service DKE appelé par Microsoft 365, opéré par DuoKey ou déployé sur votre propre infrastructure.

Peut-on migrer de Utimaco vers DuoKey ?

Oui. Créez un service DKE DuoKey et une étiquette de sensibilité pour les nouveaux contenus, et gardez le service Utimaco actif pour les documents déjà protégés jusqu'à leur réétiquetage ou la fin de leur conservation.

Comment ces critères ont-ils été choisis ?

Ils suivent les sections d'un appel d'offres client DKE et gestion des clés : support, couverture DKE Microsoft, administration, supervision, disponibilité, hébergement, stockage des clés et réversibilité. Chaque cellule renvoie au document public sur lequel elle s'appuie.

Sources

Chaque affirmation de cette page, sourcée

Utimaco

  1. [1]utimaco.comcritères 1https://utimaco.com/sites/default/files/2022-09/Utimaco_Global_Maintenance_Support_Services_Policy_v2.0.pdf
  2. [2]support.hsm.utimaco.comcritères 2, 6, 7, 8, 12https://support.hsm.utimaco.com/documents/20182/32706/SecurityServer+Se/7fe27d35-c5dd-4f7a-9501-24b00e22533d
  3. [3]integration-guides.utimaco.comcritères 3, 33https://integration-guides.utimaco.com/utimaco-double-key-encryption-dke-and-cryptoserver-hsm/1.0.0/verify-encryption-and-decryption-with-dke-on-microsoft-365-client
  4. [4]integration-guides.utimaco.comcritères 4, 30, 16, 17https://integration-guides.utimaco.com/utimaco-double-key-encryption-dke-and-cryptoserver-hsm/1.0.0/utimaco-dke-anchor-manager
  5. [5]integration-guides.utimaco.comcritères 5, 32https://integration-guides.utimaco.com/utimaco-double-key-encryption-dke-and-cryptoserver-hsm/1.0.0/configure-the-application-yml-file
  6. [6]integration-guides.utimaco.comcritères 10, 31https://integration-guides.utimaco.com/utimaco-double-key-encryption-dke-and-cryptoserver-hsm/1.0.0/logging
  7. [7]utimaco.comcritères 11https://utimaco.com/data-protection/gp-hsm/utrust-general-purpose-hsm
  8. [8]integration-guides.utimaco.comcritères 28https://integration-guides.utimaco.com/utimaco-double-key-encryption-dke-and-cryptoserver-hsm/1.0.0/execute-the-dke-anchor-manager-on-linux
  9. [9]integration-guides.utimaco.comcritères 29https://integration-guides.utimaco.com/utimaco-double-key-encryption-dke-and-cryptoserver-hsm/1.0.0/deleting-a-user-for-a-key
  10. [10]utimaco.comcritères 13, 14https://utimaco.com/data-protection/trust-as-a-service/general-purpose-hsm-as-a-service
  11. [11]integration-guides.utimaco.comcritères 15https://integration-guides.utimaco.com/using-an-rdbms-for-key-storage-and-cryptoserver/1.0.0/backup
  12. [12]utimaco.comcritères 19, 20, 23, 24https://utimaco.com/data-protection/gp-hsm/application-package/double-key-encryption
  13. [13]integration-guides.utimaco.comcritères 21https://integration-guides.utimaco.com/utimaco-double-key-encryption-dke-and-cryptoserver-hsm/1.0.0/register-dke-anchor-service-with-azure
  14. [14]integration-guides.utimaco.comcritères 22https://integration-guides.utimaco.com/utimaco-double-key-encryption-dke-and-cryptoserver-hsm/1.0.0/minimum-system-requirements
  15. [15]utimaco.comcritères 25https://utimaco.com/news/blog-posts/achieving-iso-27001-certification-setting-high-standards-security
  16. [16]utimaco.comcritères 27https://utimaco.com/data-protection/trust-as-a-service/enterprise-key-manager-as-a-service

DuoKey

  1. [1]docs.duokey.comcritères 1, 2https://docs.duokey.com/docs/why-mpc
  2. [2]docs.duokey.comcritères 3https://docs.duokey.com/docs/double-key-encryption/cockpit-v2/overview
  3. [3]docs.duokey.comcritères 4, 29https://docs.duokey.com/docs/double-key-encryption/cockpit-v2/access-policies
  4. [4]docs.duokey.comcritères 5https://docs.duokey.com/docs/double-key-encryption/operations/b2b-collaboration
  5. [5]docs.duokey.comcritères 6, 31https://docs.duokey.com/docs/cockpit/security
  6. [6]docs.duokey.comcritères 7https://docs.duokey.com/docs/cockpit/administration
  7. [7]docs.duokey.comcritères 8https://docs.duokey.com/docs/cockpit/key-policies
  8. [8]docs.duokey.comcritères 9https://docs.duokey.com/docs/cockpit/access-policies
  9. [9]docs.duokey.comcritères 10https://docs.duokey.com/docs/openshift-on-prem/security/compliance-audit
  10. [10]docs.duokey.comcritères 11, 32, 33https://docs.duokey.com/docs/double-key-encryption/setup/dke-service-deployment
  11. [11]docs.duokey.comcritères 28https://docs.duokey.com/docs/double-key-encryption/operations/zero-trust-access-control
  12. [12]docs.duokey.comcritères 30https://docs.duokey.com/docs/developer/administration-api
  13. [13]docs.duokey.comcritères 13https://docs.duokey.com/docs/openshift-on-prem/vm-deployment
  14. [14]docs.duokey.comcritères 14https://docs.duokey.com/docs/openshift-on-prem/mpc-cluster
  15. [15]docs.duokey.comcritères 15https://docs.duokey.com/docs/openshift-on-prem/operations/backup-recovery
  16. [16]docs.duokey.comcritères 16, 17, 21https://docs.duokey.com/docs/double-key-encryption/cockpit-v2/dke-configuration
  17. [17]docs.duokey.comcritères 19https://docs.duokey.com/docs/double-key-encryption/knowledgebase
  18. [18]docs.duokey.comcritères 20, 22, 24https://docs.duokey.com/docs/openshift-on-prem/prerequisites
  19. [19]docs.duokey.comcritères 23https://docs.duokey.com/docs/oracle-tde/overview
  20. [20]duokey.comcritères 25https://duokey.com/en/compliance/iso-27001
  21. [21]docs.duokey.comcritères 26https://docs.duokey.com/docs/double-key-encryption/faq
  22. [22]docs.duokey.comcritères 27https://docs.duokey.com/docs/pkcs11-lib/function-coverage

Parlons des décisions qui comptent pour votre programme de sécurité.

Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.

Demander une démoDécouvrir les solutions