Sanket versus Wire: een alternatief voor Wire met postkwantumbescherming via Signal Protocol
Wire en Sanket zijn beide ontwikkeld voor organisaties en kunnen beide op eigen servers en in volledig van netwerken geïsoleerde omgevingen worden geïnstalleerd. Sanket onderscheidt zich in de huidige versie met Signal Protocol en de postkwantumprotocollen PQXDH en SPQR, AES-256 op elke laag, wederzijdse TLS-verificatie van apparaten en ondertekende apparatenlijsten, en wordt geleverd door een Indiase aanbieder met offline licentieverlening.
Over Wire
Wire Swiss GmbH · Zwitserland
Wire is een Zwitsers platform voor veilige samenwerking voor bedrijven en overheden, met hosting in Duitsland en Ierland. Berichten, gesprekken en bestanden zijn standaard van eind tot eind versleuteld en deze versleuteling kan niet worden uitgeschakeld. In april 2025 is Wire in al zijn producten overgestapt op het MLS-protocol. Het biedt installatie in de cloud, een privécloud, op eigen servers en in volledig van netwerken geïsoleerde omgevingen, met SAML SSO en SCIM.
Sanket versus Wire: vergelijking naast elkaar
| Criterium | SANKET | Wire |
|---|---|---|
| Wie beheert de infrastructuur | De klant. Eén afzonderlijke installatie per organisatie, op infrastructuur die zij bezit of kiest, zonder een door de leverancier beheerde dienst in het berichtenpad. | Wire beheert de cloudomgeving, of de klant beheert een installatie in een privécloud of op eigen servers. |
| Implementatieopties | Exclusieve installatie in elke door de klant gekozen regio en cloudomgeving (of op de hostinginfrastructuur van Tosh Defence), op eigen servers van de klant of volledig fysiek gescheiden van andere netwerken; op één server of met hoge beschikbaarheid en herstel via een tweede locatie. | Cloud, privécloud, op eigen servers en fysiek geïsoleerd (leverancier). |
| Wie beheert de sleutels en identiteiten | De klant en zijn gebruikers. Sleutels worden op elk apparaat gegenereerd en beschermd met hardwarematige opslag; identiteiten zijn Sanket IDs onder beheer van de klant, zonder dat een telefoonnummer van een consument vereist is als identiteit. | Gebruikers met SSO en SCIM nemen deel via een e-mailuitnodiging, zonder telefoonnummer. Sleutelbeheer: niet openbaar gedocumenteerd. |
| Versleutelingsprotocol | Signal Protocol via de officiële, onafhankelijk gecontroleerde libsignal van Signal. Berichten gebruiken AES-256-CBC met HMAC-SHA256 binnen libsignal; bestanden en gesprekken gebruiken AES-256-GCM; TLS gebruikt uitsluitend coderingssuites met AES-256-GCM. | MLS (algemeen beschikbaar sinds april 2025), waarbij ook Proteus is gedocumenteerd; conferentiegesprekken gebruiken AES-GCM 256. |
| Postkwantumbescherming | Ja, in de huidige versie: PQXDH met een verplichte postkwantumvoorsleutel op basis van Kyber en de SPQR-sleutelratel (drievoudige sleutelratel), plus hybride X25519MLKEM768-sleuteluitwisseling aan de TLS-netwerkrand. | Beschreven als ontworpen voor cryptografische wendbaarheid; er is geen publiek beschikbare documentatie over een geïmplementeerde postkwantumsleuteluitwisseling. |
| Groepen en gesprekken zijn standaard van begin tot eind versleuteld | Ja. Individuele berichten, groepsberichten, reacties, versleutelde berichten aan meerdere ontvangers en bestanden zijn altijd van begin tot eind versleuteld; spraak- en videogesprekken gebruiken AES-256-GCM-frameversleuteling met vijf nieuwe framesleutels per seconde, binnen SRTP AES-256-GCM. | Ja: berichten, gesprekken en bestanden zijn standaard van begin tot eind versleuteld; dit kan niet worden uitgeschakeld. |
| Identiteitsprovider van de klant (SSO / LDAP) | Ja. Aanmelding via de eigen OIDC-, SAML 2.0- of LDAP-directory van de klant, gebruikersprovisioning via SCIM 2.0 en FIDO2-beveiligingssleutels voor beheerders. | Eenmalige aanmelding via SAML en gebruikersinrichting via SCIM. |
| Beheerfuncties en apparaatbeheer | Goedkeuring en intrekking van apparaten, verloren-modus en wissen op afstand, ondertekende apparaatlijsten, wederzijdse TLS-authenticatie voor apparaten, beleid voor bewaartermijnen, doorsturen en het klembord, door de klant gedefinieerde classificatielabels en een auditlogboek met hashketen voor het SIEM van de klant. | Not publicly documented |
| Datasoevereiniteit (rechtsgebied, ontwikkeld in India) | Ontwikkeld in India door Tosh Defence. Gegevens blijven binnen het rechtsgebied en op de infrastructuur die de klant kiest, zonder analyses door derden en zonder afhankelijkheid van buitenlandse diensten tijdens het gebruik van de producten. | Wire Swiss GmbH, Zwitserland; hosting in Duitsland en Ierland. |
| Integriteit van softwareversies en controle over updates | Met Ed25519 ondertekende versies worden vóór installatie geverifieerd, met bescherming tegen installatie bij een versiestop en tegen terugzetten naar een oudere versie, en automatisch herstel naar de vorige toestand als een upgrade mislukt. De klant bepaalt wanneer er wordt bijgewerkt, online of met een ondertekend offlinepakket. | Not publicly documented |
| Platformen | Systeemeigen apps voor iOS, Android, Windows, macOS en Linux. Het ontwerp vereist geen browser: er is geen webclient die kan worden aangevallen. | Bureaublad, mobiel, browser en tablet. |
Wie beheert de infrastructuur
SANKET
De klant. Eén afzonderlijke installatie per organisatie, op infrastructuur die zij bezit of kiest, zonder een door de leverancier beheerde dienst in het berichtenpad.
Wire
Wire beheert de cloudomgeving, of de klant beheert een installatie in een privécloud of op eigen servers.Implementatieopties
SANKET
Exclusieve installatie in elke door de klant gekozen regio en cloudomgeving (of op de hostinginfrastructuur van Tosh Defence), op eigen servers van de klant of volledig fysiek gescheiden van andere netwerken; op één server of met hoge beschikbaarheid en herstel via een tweede locatie.
Wire
Cloud, privécloud, op eigen servers en fysiek geïsoleerd (leverancier).Wie beheert de sleutels en identiteiten
SANKET
De klant en zijn gebruikers. Sleutels worden op elk apparaat gegenereerd en beschermd met hardwarematige opslag; identiteiten zijn Sanket IDs onder beheer van de klant, zonder dat een telefoonnummer van een consument vereist is als identiteit.
Wire
Gebruikers met SSO en SCIM nemen deel via een e-mailuitnodiging, zonder telefoonnummer. Sleutelbeheer: niet openbaar gedocumenteerd.Versleutelingsprotocol
SANKET
Signal Protocol via de officiële, onafhankelijk gecontroleerde libsignal van Signal. Berichten gebruiken AES-256-CBC met HMAC-SHA256 binnen libsignal; bestanden en gesprekken gebruiken AES-256-GCM; TLS gebruikt uitsluitend coderingssuites met AES-256-GCM.
Wire
MLS (algemeen beschikbaar sinds april 2025), waarbij ook Proteus is gedocumenteerd; conferentiegesprekken gebruiken AES-GCM 256.Postkwantumbescherming
SANKET
Ja, in de huidige versie: PQXDH met een verplichte postkwantumvoorsleutel op basis van Kyber en de SPQR-sleutelratel (drievoudige sleutelratel), plus hybride X25519MLKEM768-sleuteluitwisseling aan de TLS-netwerkrand.
Wire
Beschreven als ontworpen voor cryptografische wendbaarheid; er is geen publiek beschikbare documentatie over een geïmplementeerde postkwantumsleuteluitwisseling.Groepen en gesprekken zijn standaard van begin tot eind versleuteld
SANKET
Ja. Individuele berichten, groepsberichten, reacties, versleutelde berichten aan meerdere ontvangers en bestanden zijn altijd van begin tot eind versleuteld; spraak- en videogesprekken gebruiken AES-256-GCM-frameversleuteling met vijf nieuwe framesleutels per seconde, binnen SRTP AES-256-GCM.
Wire
Ja: berichten, gesprekken en bestanden zijn standaard van begin tot eind versleuteld; dit kan niet worden uitgeschakeld.Identiteitsprovider van de klant (SSO / LDAP)
SANKET
Ja. Aanmelding via de eigen OIDC-, SAML 2.0- of LDAP-directory van de klant, gebruikersprovisioning via SCIM 2.0 en FIDO2-beveiligingssleutels voor beheerders.
Wire
Eenmalige aanmelding via SAML en gebruikersinrichting via SCIM.Beheerfuncties en apparaatbeheer
SANKET
Goedkeuring en intrekking van apparaten, verloren-modus en wissen op afstand, ondertekende apparaatlijsten, wederzijdse TLS-authenticatie voor apparaten, beleid voor bewaartermijnen, doorsturen en het klembord, door de klant gedefinieerde classificatielabels en een auditlogboek met hashketen voor het SIEM van de klant.
Wire
Not publicly documentedDatasoevereiniteit (rechtsgebied, ontwikkeld in India)
SANKET
Ontwikkeld in India door Tosh Defence. Gegevens blijven binnen het rechtsgebied en op de infrastructuur die de klant kiest, zonder analyses door derden en zonder afhankelijkheid van buitenlandse diensten tijdens het gebruik van de producten.
Wire
Wire Swiss GmbH, Zwitserland; hosting in Duitsland en Ierland.Integriteit van softwareversies en controle over updates
SANKET
Met Ed25519 ondertekende versies worden vóór installatie geverifieerd, met bescherming tegen installatie bij een versiestop en tegen terugzetten naar een oudere versie, en automatisch herstel naar de vorige toestand als een upgrade mislukt. De klant bepaalt wanneer er wordt bijgewerkt, online of met een ondertekend offlinepakket.
Wire
Not publicly documentedPlatformen
SANKET
Systeemeigen apps voor iOS, Android, Windows, macOS en Linux. Het ontwerp vereist geen browser: er is geen webclient die kan worden aangevallen.
Wire
Bureaublad, mobiel, browser en tablet.Waar Sanket vooroploopt
- Signal Protocol met postkwantumbescherming die nu al wordt gebruikt: PQXDH en de SPQR-ratel voor alle berichten.
- AES-256 of niets: bij gesprekken worden apparaten of aanbiedingen die niet aan het AES-256-profiel voldoen geweigerd, en voor TLS worden uitsluitend AES-256-GCM-cijfersuites gebruikt.
- Wederzijdse TLS-authenticatie voor elk goedgekeurd apparaat, met sleutels die op telefoons worden gegenereerd in door hardware beschermde opslag.
- Een Indiase leverancier onder eigen nationale rechtsmacht, met licenties voor gebruik zonder internetverbinding en ondertekende installatiepakketten voor offline verspreiding in fysiek van andere netwerken geïsoleerde omgevingen.
- Ondertekende apparatenlijsten, beheerd op de eigen installatie van de klant.
Veelgestelde vragen
Wat is een goed alternatief voor Wire?
SANKET (Sanket.Chat) van Tosh Defence: Signal Protocol met postkwantumprotocollen PQXDH en SPQR, AES-256 op elke laag en uitrol van een afzonderlijke cloudomgeving tot een volledig van andere netwerken geïsoleerde omgeving, onder beheer van de organisatie.
Ondersteunt SANKET SSO en SCIM?
Ja. SANKET ondersteunt gebruikersprovisioning via SCIM 2.0 en aanmelden via de eigen OIDC-, SAML 2.0- of LDAP-directory van de organisatie, plus FIDO2-beveiligingssleutels voor beheerders.
Is SANKET postkwantumveilig?
Ja. Voor berichten worden PQXDH met een verplichte postkwantum-Kyber-voorafsleutel en het SPQR-ratelmechanisme gebruikt. De TLS-toegang ondersteunt voor geschikte cliënttoepassingen ook hybride X25519MLKEM768-sleuteluitwisseling.
Bronnen
- Technisch witboek over beveiliging en architectuur van SANKET, openbare editie 2.0 (7 oktober 2026)
- Wire: beveiliging
- Wire tegenover Stashcat
- Wire: bedrijfseditie
- Wire-blog: Wire MLS is nu algemeen beschikbaar (24 april 2025)
- Wire: eenmalige aanmelding voor bedrijven
- Wire-documentatie: eenmalige aanmelding
Sources checked on 7 October 2026. Gegevens over concurrenten zijn uitsluitend afkomstig uit de vermelde bronnen. Waar geen openbare bron is gevonden, staat in de cel 'Niet publiek gedocumenteerd'. Product- en bedrijfsnamen zijn handelsmerken van hun respectieve eigenaren.
Houd uw communicatie onder eigen beheer
Bespreek met het team van Tosh Defence uw implementatie, van een afzonderlijke cloudinstallatie tot een volledig van andere netwerken afgesloten infrastructuur, of lees eerst de volledige beveiligingsarchitectuur.