overview
DuoKey pour Office 365 Customer Key
Intégrez-vous en toute transparence au cadre de chiffrement Microsoft pour contrôler vos clés de chiffrement, respecter vos obligations réglementaires et protéger les données contre les accès non autorisés.
Renforcer la sécurité des données dans Office 365 grâce à une gestion avancée des clés
Microsoft Office 365 Customer Key vous permet de fournir, contrôler et gérer vos clés de chiffrement racine utilisées pour chiffrer vos données au repos dans Office 365. Avec DuoKey pour Office 365 Customer Key, vous bénéficiez de capacités avancées de gestion des clés grâce à la technologie de calcul multipartite (MPC), garantissant l'absence de point unique de défaillance et une posture de sécurité renforcée.
Pourquoi DuoKey pour Office 365 Customer Key ?
Contrôle et conformité renforcés
Gérez vos clés de chiffrement racine pour répondre aux exigences de conformité qui imposent des dispositifs de gestion des clés avec le fournisseur de services cloud.
Chiffrement robuste
Fonctionne aux côtés des mécanismes de chiffrement natifs d'Office 365 tels que BitLocker et le chiffrement de service pour offrir une couche de sécurité supplémentaire.
Flexibilité de la gestion des clés
Gérez les clés de chiffrement à la fois sur site et dans le cloud, offrant une couverture complète de toutes les données au repos.
Fonctionnalités clés
Couverture de chiffrement complète
DuoKey étend les capacités de chiffrement à diverses applications Office 365 :
- Exchange Online (données de boîtes aux lettres)
- SharePoint Online (sites et documents)
- OneDrive for Business (fichiers personnels)
- Microsoft Teams (conversations, fichiers et enregistrements)
Intégration transparente avec Office 365
S'intègre à Office 365 sans modifier l'expérience utilisateur native, en maintenant les performances et les fonctionnalités tout en renforçant la sécurité.
Capacités avancées de gestion des clés
Calcul multipartite (MPC) : Contrairement aux services traditionnels de gestion des clés, DuoKey utilise le MPC pour renforcer la sécurité en répartissant des parties de la clé de chiffrement sur plusieurs emplacements, garantissant l'absence de point unique de défaillance.
Aucun accès unique
Aucune partie ne dispose d'un accès complet aux clés de chiffrement.
Protection contre les menaces internes
Protection renforcée contre les menaces internes.
Opérations sécurisées
Opérations cryptographiques effectuées sans exposer les clés.
Prêt pour la conformité
Répond aux exigences de conformité les plus strictes.
Avantage concurrentiel
Au-delà des solutions HSM traditionnelles
DuoKey offre des capacités de protection des données plus robustes que les HSM traditionnels en permettant aux organisations de conserver un contrôle total sur leurs clés de chiffrement.
Calcul multipartite
Opérations de clé distribuées sans point unique de compromission.
Audit renforcé
Capacités d'audit et de surveillance renforcées.
Déploiement flexible
Options de déploiement cloud ou sur site.
Conformité réglementaire
RGPD, HIPAA, SOC 2 et réglementations sectorielles spécifiques.
Intégration avec les technologies de chiffrement Microsoft
| Technologie | Niveau | Description |
|---|---|---|
| BitLocker | Niveau disque | Chiffrement au niveau du disque pour la sécurité physique |
| SSE (chiffrement de service) | Niveau service | Chiffrement au niveau du service dans les centres de données |
| Customer Key | Niveau application | Chiffrement au niveau de l'application avec des clés contrôlées par le client |
DuoKey ajoute une couche supplémentaire de contrôle de la gestion des clés, garantissant que même si une couche est compromise, vos données restent protégées.
Processus technique d'import BYOK
Le processus Bring Your Own Key (BYOK) est une méthode complète permettant aux clients d'importer et de contrôler leurs clés de chiffrement au sein de Microsoft Office 365, garantissant une sécurité des données et une conformité renforcées.
Processus BYOK pour Office 365 Customer Key
Génération de clé hors ligne
Le processus commence par la génération de la Customer Key cible sur une machine hors ligne. Cette clé peut être RSA (Rivest-Shamir-Adleman), EC (courbe elliptique) ou AES (Advanced Encryption Standard). La clé est chiffrée à l'aide de l'algorithme MRZ15 pour une sécurité supplémentaire lors du transport.
Génération en ligne de la clé de chiffrement de clé (KEK)
Deux KEK RSA sont créées en ligne via l'automatisation DuoKey et l'API Azure Graph. Ces KEK sont stockées en toute sécurité dans deux Azure Key Vaults, qui sont des services de gestion de clés Azure Premium adossés à un HSM.
Récupérer la clé publique de la KEK
Les clés publiques des KEK générées à l'étape précédente sont récupérées ; elles seront utilisées dans les étapes suivantes pour sécuriser le processus de chiffrement.
Création d'une clé AES temporaire
Une clé AES temporaire de 256 bits est générée en ligne ; elle servira à chiffrer la Customer Key en transit afin de garantir sa confidentialité et son intégrité.
Chiffrer la clé AES temporaire
La clé AES temporaire est ensuite enveloppée en toute sécurité à l'aide des KEK RSA de l'étape 3, en utilisant l'algorithme RSA_PKCS_OAEP pour un chiffrement robuste.
Envelopper la Customer Key
La Customer Key est enveloppée avec la clé AES générée à l'étape 4 à l'aide de l'algorithme CKM_AES_KEY_WRAP_PAD. Cette étape sécurise la Customer Key avant son téléversement vers Azure Key Vault.
Combiner la clé de session de chiffrement et le message chiffré
Les sorties chiffrées des étapes 5 et 6 sont combinées pour former un paquet de message sécurisé qui inclut à la fois la clé chiffrée et les données chiffrées, prêt pour une transmission ou un stockage sécurisés.
Générer le fichier BYOK pour l'import
Un fichier BYOK au format JSON est créé, incluant tous les paramètres nécessaires et les clés chiffrées des étapes précédentes. Ce fichier est prêt à être importé dans Azure Key Vault, permettant l'utilisation sécurisée des Customer Keys au sein des environnements Microsoft Office 365.
Considérations de sécurité et de conformité
Souveraineté et contrôle des données
Les clients conservent un contrôle total sur leurs clés, garantissant la conformité aux lois et réglementations locales sur la souveraineté des données.
Sécurité renforcée
Les clients génèrent et conservent les clés racines hors de Microsoft, autorisent leur usage dans Azure Key Vault et peuvent révoquer cette autorisation.
Audit et conformité
Prend en charge des capacités d'audit détaillées, permettant aux organisations de surveiller l'utilisation et l'accès aux clés pour la conformité.
Fonctionnement d'Office 365 Customer Key
Architecture de chiffrement
Office 365 utilise une approche de chiffrement en couches :
Couche de chiffrement de service
Microsoft chiffre les données au repos à l'aide de clés de chiffrement de service (clé gérée par Microsoft).
Couche Customer Key
Vos Customer Keys chiffrent les clés de chiffrement de service (votre Customer Key provenant de DuoKey).
Couche BitLocker
Chiffrement supplémentaire au niveau du disque pour la sécurité physique.
Processus de chiffrement des données
User Data (Plaintext)
|
[Layer 1: Service Encryption]
| (Microsoft-managed key)
Service-Encrypted Data
|
[Layer 2: Customer Key Encryption]
| (Your Customer Key from DuoKey)
Customer Key-Encrypted Data
|
[Layer 3: BitLocker Encryption]
| (Disk-level encryption)
Fully Encrypted Data at Rest
Hiérarchie des clés
Customer Key (Your control via DuoKey)
|
Data Encryption Policy (DEP)
|
Intermediate Keys
|
Per-mailbox/per-file Keys
|
Encrypted User Data
Cas d'usage
Scénario : Besoin de se conformer aux réglementations financières exigeant le contrôle de l'accès aux données et de la gestion des clés.
Solution : DuoKey permet aux organisations financières de gérer leurs propres clés, renforçant la sécurité et garantissant la conformité au RGPD, à SOX, à PCI DSS et à Bâle III.
Avantages :
- Démontrer le contrôle des clés cryptographiques aux auditeurs
- Répondre aux exigences de résidence des données
- Capacités de révocation instantanée des clés
- Piste d'audit complète des opérations de clé
Charges de travail Office 365 prises en charge
Exchange Online
Chiffrement des données de boîtes aux lettres, chiffrement des boîtes aux lettres d'archive et chiffrement des données indexées par Exchange Search.
SharePoint Online et OneDrive
Bibliothèques de documents, listes et éléments de liste, contenu des sites, index de recherche et fichiers personnels OneDrive.
Microsoft Teams
Messages de conversation et échanges, fichiers partagés dans les canaux Teams, enregistrements de réunions et contenu des sites Teams.
Skype for Business
Historique des conversations, fichiers partagés et contenu des réunions.
Technologie de calcul multipartite (MPC)
DuoKey exploite la technologie MPC pour offrir une sécurité renforcée à vos Customer Keys Office 365.
Fonctionnement du MPC
Fractionnement de la clé
Votre Customer Key est mathématiquement fractionnée en plusieurs parts.
Stockage distribué
Les parts sont stockées dans des emplacements distincts et isolés.
Opérations à seuil
Un nombre minimal de parts (seuil) est requis pour les opérations.
Aucun point d'accès unique
Aucune partie ne peut accéder à la clé complète ou la reconstruire.
Avantages du MPC
Aucun point unique de défaillance
Même si un emplacement est compromis, votre clé reste sécurisée.
Contrôle d'accès renforcé
Plusieurs parties doivent collaborer pour les opérations de clé.
Opérations cryptographiques
Effectuées sans jamais exposer la clé complète.
Avantage de conformité
Démontre des contrôles de sécurité renforcés aux auditeurs.
Révocation des clés et récupération des données
Révocation instantanée des clés
La révocation des clés empêchera immédiatement Microsoft de déchiffrer vos données. Les utilisateurs perdront l'accès à leurs boîtes aux lettres, fichiers et données Teams jusqu'à la restauration des clés.
Déprovisionner les clés
Retirez les Customer Keys d'Azure Key Vault.
Effet immédiat
Microsoft perd l'accès au déchiffrement de vos données en quelques heures.
Protection des données
Vos données restent chiffrées et inaccessibles.
Clé de disponibilité
Microsoft maintient une clé de disponibilité (Availability Key) comme mécanisme de sauvegarde. Elle n'est utilisée que dans des scénarios spécifiques (par ex., indisponibilité des clés), ne fournit pas à Microsoft un accès routinier à vos données et est soumise à des contrôles d'accès et à un audit stricts.
Récupération des clés
Restaurer les Customer Keys
Restaurez les Customer Keys dans Azure Key Vault.
Mettre à jour la DEP
Mettez à jour la politique de chiffrement des données (DEP).
Reprise du service
Le service retrouve automatiquement l'accès au déchiffrement des données.
Prérequis
Prérequis
- Licence Office 365 Enterprise E5 (ou module complémentaire E5 Compliance)
- Exchange Online Plan 2
- SharePoint Online Plan 2
- OneDrive for Business Plan 2
- Rôle d'administrateur général pour la configuration
- Abonnement Azure
- Azure Key Vault Premium (adossé à un HSM) dans deux régions
- Autorisations Azure Active Directory appropriées
- Groupe de ressources pour le déploiement de Key Vault
- Accès à la plateforme DuoKey
- DuoKey Cockpit configuré pour Office 365 Customer Key
- Licence DuoKey valide
- Connectivité HTTPS entre Office 365 et Azure Key Vault
- Connectivité sortante depuis les services Office 365
- Configurations de pare-feu et de proxy appropriées
Considérations de performance
Impact sur l'expérience utilisateur
Les opérations Customer Key sont conçues pour avoir un impact minimal sur les utilisateurs finaux. Le chiffrement et le déchiffrement s'effectuent de manière transparente sans dégradation notable des performances. La gestion des clés se déroule en tant qu'opérations en arrière-plan.
Calendrier du chiffrement initial
| Charge de travail | Calendrier | Remarques |
|---|---|---|
| Boîtes aux lettres | 24 à 48 heures par DEP | Dépend de la taille de la boîte aux lettres |
| SharePoint/OneDrive | Plusieurs jours à plusieurs semaines | Dépend du volume de données |
| Teams | Suit le calendrier de SharePoint | Données stockées dans SharePoint |
Opérations continues
- Chiffrement en temps réel du nouveau contenu
- Prise en charge de la rotation automatique des clés
- Chiffrement continu en arrière-plan du contenu non chiffré
Surveillance et audit
Journaux d'audit DuoKey
Tentatives d'accès aux clés, opérations réussies/échouées, modifications administratives et rapports de conformité.
Journaux d'audit Office 365
Affectations de DEP, utilisation des clés, actions administratives et incidents de sécurité.
Points d'intégration
Azure Monitor, Centre de sécurité et conformité Office 365, DuoKey Cockpit et intégration SIEM.
Quotas et limites
Limites d'Office 365 Customer Key
| Ressource | Limite |
|---|---|
| Nombre maximal de DEP par locataire | 50 |
| Portée d'affectation des DEP | Plusieurs boîtes aux lettres/sites par DEP |
| Taille de clé minimale | Clés RSA de 2048 bits |
| Opérations de rafraîchissement des clés | Soumises à la limitation de débit d'Azure Key Vault |
Limites d'Azure Key Vault
| Ressource | Limite |
|---|---|
| Clés par vault | 25 000 |
| Opérations par 10 secondes | Varie selon le type de clé et l'opération |
| Quotas spécifiques à la région | S'appliquent par région Azure |
Bonnes pratiques
Gestion des clés
Maintenez des sauvegardes hors ligne, planifiez une rotation régulière des clés, mettez en œuvre un accès au moindre privilège et stockez les clés dans différentes régions Azure.
Sécurité
Exigez la MFA pour l'accès administrateur, utilisez des locataires Azure distincts, activez une journalisation complète et élaborez des procédures de réponse aux incidents.
Excellence opérationnelle
Testez les affectations de DEP en environnement hors production, tenez des runbooks détaillés, suivez des processus de changement structurés et formez le personnel informatique.
Comparaison avec d'autres solutions
Customer Key vs. chiffrement par défaut
| Fonctionnalité | Chiffrement de service par défaut | Customer Key |
|---|---|---|
| Contrôle des clés | Microsoft gère | Le client gère |
| Emplacement des clés | Centres de données Microsoft | Azure Key Vault (du client) |
| Conformité | Conformité standard | Conformité renforcée (souveraineté des données) |
| Révocation des clés | Impossible | Capacité de révocation instantanée |
| Contrôle d'audit | Journaux d'audit Microsoft | Journaux d'audit du client + journaux Microsoft |
| Coût | Inclus | Licence supplémentaire requise |
Customer Key vs. Customer Lockbox
| Fonctionnalité | Customer Key | Customer Lockbox |
|---|---|---|
| Objet | Contrôle des clés de chiffrement | Approbation des demandes d'accès |
| Portée | Chiffrement des données au repos | Accès du support Microsoft |
| Mise en œuvre | Configuration technique requise | Flux d'approbation administrative |
| Impact sur la conformité | Protection des données renforcée | Gouvernance des accès renforcée |
Prise en main
Prise en main
Consultez les prérequis et la configuration initiale.
Guide des opérations
Découvrez la gestion quotidienne des clés.
Bonnes pratiques
Suivez les directives de sécurité et d'excellence opérationnelle.
Dépannage
Pour des conseils de dépannage détaillés, consultez le Guide de dépannage.
Support
Pour un support technique ou des questions concernant DuoKey pour Office 365 Customer Key :
- E-mail : [email protected]
- Documentation : Support DuoKey
- Documentation Microsoft : Chiffrement de service avec Customer Key