Controle dual
Princípio segundo o qual uma operação sensível exige duas pessoas, e nenhuma delas consegue concluí-la sozinha.
Controle dual e conhecimento dividido (split knowledge) entram em cena quando uma chave é carregada em um HSM, quando uma chave-mestra é gerada ou quando uma chave é transportada. Cada pessoa conhece apenas a sua parte, geralmente um componente que sofre XOR com o da outra, de modo que a chave completa nunca existe em um único lugar.
O princípio vem dos cofres de banco e dos procedimentos militares, onde a regra das duas pessoas protege os ativos mais críticos. Custa tempo e exige que duas pessoas cooperem, mas é um preço razoável para garantir que ninguém saia andando sozinho com a chave inteira.