Notakey vs Cisco Duo : comparatif du MFA par approbation sur le téléphone

Lieu d’exécution

NotakeyAppliance sur site (machine virtuelle) ou cloud hébergé par Notakey. Les journaux d’authentification et la décision d’approbation restent sur votre appliance ; la notification push, avec son court message, transite par les services push d’Apple et de Google.

Cisco DuoService cloud exploité par Cisco. Pour RADIUS et LDAP, le Duo Authentication Proxy tourne sur un hôte Windows Server ou Linux de votre réseau et sollicite le cloud Duo pour le second facteur.

Prix (catalogue, par utilisateur et par mois)

NotakeyCloud : 6 premiers utilisateurs gratuits, puis 2,50 €. Sur site : 10 premiers utilisateurs gratuits, puis 0,80 €. SLA pour les entreprises tarifés à part.

Cisco DuoGratuit jusqu’à 10 utilisateurs. Essentials 3 $, Advantage 6 $, Premier 9 $. En dessous de 100 utilisateurs, les licences s’achètent par tranches de 10.

VPN et pare-feu via RADIUS

NotakeyL’auth-proxy est fourni dans l’appliance (ou en conteneur / MSI à côté d’une instance cloud) et se place de façon transparente devant votre serveur RADIUS existant, ou devant le plugin RADIUS de l’appliance. Fenêtre d’approbation de 30 s par défaut.

Cisco DuoL’Authentication Proxy fait office de serveur RADIUS pour le VPN ; par défaut, il envoie automatiquement un Duo Push après la connexion principale, et l’utilisateur peut ajouter « ,push » ou un code au mot de passe pour choisir la méthode. Duo recommande un délai d’expiration de 60 secondes côté client.

MikroTik

Notakey2FA VPN par script, sans aucun serveur RADIUS, et connexions WinBox/WebFig/SSH via RADIUS. Les deux sont documentées pas à pas.

Cisco DuoNous n’avons trouvé aucun guide propre à MikroTik dans la documentation de Duo ; le proxy RADIUS générique s’applique, comme pour tout client RADIUS.

Contre le push-bombing

NotakeyLa carte d’approbation indique le service, le nom d’utilisateur et, lorsque l’intégration la fournit, l’adresse IP d’origine, avec un compte à rebours ; une demande que l’utilisateur n’a pas déclenchée se refuse d’un geste et est journalisée. Pas de correspondance de numéros.

Cisco DuoVerified Duo Push : l’utilisateur saisit dans Duo Mobile un code affiché sur l’écran de connexion, si bien qu’un « Approuver » à l’aveugle est impossible. Une parade explicite et plus forte pour les connexions interactives ; la documentation RADIUS de Duo ne la mentionne pas.

Facteurs résistants au phishing (liés au site)

NotakeyNon proposés. Les clés sont liées à l’appareil et ne peuvent pas être copiées, mais une approbation sur le téléphone n’arrête pas le relais en temps réel d’une connexion via une fausse page.

Cisco DuoLe MFA résistant au phishing et la connexion sans mot de passe avec FIDO2 figurent dès l’édition Essentials.

Signature de transactions

NotakeyOui : l’utilisateur signe sur son téléphone une description lisible d’un paiement, d’une commande ou d’une modification, avec le lien dynamique PSD2.

Cisco DuoCe n’est pas une fonction de Duo ; Duo authentifie des connexions.

Connexion Windows

NotakeyWindows Credential Provider pour les connexions locales et Bureau à distance, éventuellement en mode exclusivement sans mot de passe ; fonctionne avec Active Directory sur site.

Cisco DuoDuo Authentication for Windows Logon and RDP ; Verified Duo Push et accès hors ligne pour les connexions console dès Essentials.

SSO, confiance des appareils, politiques fondées sur le risque

NotakeyUn service SSO SAML et OAuth/OpenID Connect est fourni avec l’appliance pour vos propres applications. Pas de contrôle de l’état de sécurité des appareils, pas de politiques fondées sur le risque, pas d’accès distant sans VPN.

Cisco DuoDuo SSO ; Trusted Endpoints dès Essentials ; authentification fondée sur le risque et Cisco Identity Intelligence dès Advantage ; confiance des appareils complète et accès distant sans VPN dans Premier.

Éditeur

NotakeyPetit éditeur de l’UE (Lettonie) ; l’assistance est assurée par les ingénieurs qui développent le produit.

Cisco DuoFait partie de Cisco.

Questions fréquentes

Notakey peut-il remplacer Duo pour un VPN RADIUS sans changer de serveur RADIUS ?

Oui. L’auth-proxy Notakey se place devant votre serveur RADIUS existant (FreeRADIUS, Microsoft NPS, User Manager) de façon transparente pour celui-ci. Sur le VPN, seuls l’adresse du serveur RADIUS et le délai d’expiration changent.

Notakey propose-t-il un équivalent de Verified Duo Push ?

Pas de correspondance de numéros. La carte d’approbation Notakey affiche en revanche le service, le nom d’utilisateur et, si elle est fournie, l’adresse IP, afin que l’utilisateur repère une connexion qu’il n’a pas lancée et la refuse. Les deux approches répondent au push-bombing ; celle de Duo est le contrôle explicite le plus fort pour les connexions interactives.

Notakey est-il moins cher que Duo ?

Au prix catalogue, les tarifs par utilisateur de Notakey (0,80 € sur site, 2,50 € dans le cloud, hors TVA) sont inférieurs aux 3 $ à 9 $ de Duo. L’offre gratuite de Duo couvre 10 utilisateurs contre 6 pour Notakey Cloud (10 sur site) : une équipe de 7 à 10 personnes ne paie donc rien avec l’édition gratuite de Duo. Les éditions supérieures de Duo comprennent des fonctions que Notakey n’a pas ; comparez donc ce que vous utiliserez réellement.