SANKET e Wire: uma alternativa ao Wire com Signal Protocol pós-quântico
O Wire e o Sanket foram ambos concebidos para organizações e podem ser instalados em servidores próprios e em ambientes isolados de outras redes. O Sanket distingue-se pelo Signal Protocol e pelos protocolos pós-quânticos PQXDH e SPQR na versão atual, pelo AES-256 em todas as camadas, pela autenticação TLS mútua entre dispositivos e pelas listas de dispositivos assinadas, sendo fornecido por uma empresa indiana com licenciamento sem ligação à Internet.
Sobre Wire
Wire Swiss GmbH · Suíça
O Wire é uma plataforma suíça de colaboração segura para empresas e entidades governamentais, com alojamento na Alemanha e na Irlanda. As mensagens, chamadas e ficheiros têm encriptação ponto a ponto ativada por predefinição, que não pode ser desativada. Em abril de 2025, a plataforma passou a utilizar o protocolo MLS em todos os seus produtos. Oferece instalação na nuvem, em nuvem privada, em servidores próprios e em ambientes isolados de outras redes, com autenticação única SAML e aprovisionamento SCIM.
SANKET e Wire: comparação lado a lado
| Critério | SANKET | Wire |
|---|---|---|
| Quem controla a infraestrutura | O cliente. Uma instalação dedicada por organização, em infraestrutura que ela possui ou escolhe, sem nenhum serviço operado pelo fornecedor no caminho das mensagens. | O Wire gere a sua nuvem; em alternativa, o cliente gere uma instalação em nuvem privada ou em servidores próprios. |
| Opções de implantação | Instalação dedicada em qualquer nuvem e em qualquer região escolhida pelo cliente (ou alojamento da Tosh Defence), nas instalações do cliente ou totalmente isolada das redes; num único servidor ou em configuração de alta disponibilidade com recuperação numa segunda localização. | Nuvem, nuvem privada, servidores próprios e ambientes isolados de outras redes (fornecedor). |
| Quem detém as chaves e controla a identidade | O cliente e seus usuários. As chaves são geradas em cada dispositivo e protegidas por armazenamento com suporte de hardware; as identidades são Sanket IDs controladas pelo cliente, sem exigência de usar um número de telefone pessoal como identidade. | Os utilizadores de SSO e SCIM aderem por convite enviado por correio eletrónico, sem número de telefone. Gestão de chaves: não documentada publicamente. |
| Protocolo de encriptação | Signal Protocol através da biblioteca oficial libsignal do Signal, auditada de forma independente. Mensagens com AES-256-CBC e HMAC-SHA256 no âmbito da libsignal; ficheiros e chamadas com AES-256-GCM; TLS apenas com conjuntos criptográficos AES-256-GCM. | MLS (disponível para uso geral desde abril de 2025), com Proteus também documentado; chamadas em conferência com AES-GCM 256. |
| Proteção pós-quântica | Sim, na versão atual: PQXDH com uma pré-chave Kyber pós-quântica obrigatória e o mecanismo de rotação de chaves SPQR (Triple Ratchet), além de uma troca de chaves híbrida X25519MLKEM768 na extremidade TLS. | Descrito como concebido para permitir agilidade criptográfica; não existe documentação pública sobre uma troca de chaves pós-quântica em produção. |
| Grupos e chamadas cifrados de ponta a ponta por predefinição | Sim. As mensagens individuais e de grupo, as reações, as difusões encriptadas e os ficheiros são sempre encriptados de ponta a ponta; as chamadas de voz e vídeo utilizam encriptação de fotogramas AES-256-GCM com cinco novas chaves de fotograma por segundo, dentro de SRTP AES-256-GCM. | Sim: mensagens, chamadas e ficheiros encriptados de ponta a ponta por predefinição, sem possibilidade de desativar a encriptação. |
| Fornecedor de identidade do cliente (SSO / LDAP) | Sim. Autenticação pelo diretório OIDC, SAML 2.0 ou LDAP do próprio cliente, provisionamento SCIM 2.0 e chaves de segurança FIDO2 para administradores. | Autenticação única SAML e aprovisionamento SCIM. |
| Controles administrativos e governança de dispositivos | Aprovação e revogação de dispositivos, modo de perda e apagamento remoto, listas de dispositivos assinadas, TLS mútuo de dispositivos, políticas de retenção, reencaminhamento e área de transferência, etiquetas de classificação definidas pelo cliente e um registo de auditoria com encadeamento de hashes para o SIEM do cliente. | Not publicly documented |
| Soberania dos dados (jurisdição, desenvolvido na Índia) | Desenvolvido na Índia pela Tosh Defence. Os dados permanecem na jurisdição e na infraestrutura escolhidas pelo cliente, sem análise de dados por terceiros e sem dependência de serviços externos estrangeiros para a execução dos produtos. | Wire Swiss GmbH, Suíça; alojamento na Alemanha e na Irlanda. |
| Integridade das versões e controle de atualizações | Versões assinadas com Ed25519, verificadas antes da instalação, com bloqueio de versões, proteção contra a instalação de versões anteriores e reposição automática do estado anterior em caso de falha da atualização. O cliente decide quando atualizar, em linha ou através de um pacote autónomo assinado. | Not publicly documented |
| Plataformas | Aplicações nativas para iOS, Android, Windows, macOS e Linux. Sem navegador por conceção: não existe cliente Web que possa ser atacado. | Computador, dispositivos móveis, navegador e tablet. |
Quem controla a infraestrutura
SANKET
O cliente. Uma instalação dedicada por organização, em infraestrutura que ela possui ou escolhe, sem nenhum serviço operado pelo fornecedor no caminho das mensagens.
Wire
O Wire gere a sua nuvem; em alternativa, o cliente gere uma instalação em nuvem privada ou em servidores próprios.Opções de implantação
SANKET
Instalação dedicada em qualquer nuvem e em qualquer região escolhida pelo cliente (ou alojamento da Tosh Defence), nas instalações do cliente ou totalmente isolada das redes; num único servidor ou em configuração de alta disponibilidade com recuperação numa segunda localização.
Wire
Nuvem, nuvem privada, servidores próprios e ambientes isolados de outras redes (fornecedor).Quem detém as chaves e controla a identidade
SANKET
O cliente e seus usuários. As chaves são geradas em cada dispositivo e protegidas por armazenamento com suporte de hardware; as identidades são Sanket IDs controladas pelo cliente, sem exigência de usar um número de telefone pessoal como identidade.
Wire
Os utilizadores de SSO e SCIM aderem por convite enviado por correio eletrónico, sem número de telefone. Gestão de chaves: não documentada publicamente.Protocolo de encriptação
SANKET
Signal Protocol através da biblioteca oficial libsignal do Signal, auditada de forma independente. Mensagens com AES-256-CBC e HMAC-SHA256 no âmbito da libsignal; ficheiros e chamadas com AES-256-GCM; TLS apenas com conjuntos criptográficos AES-256-GCM.
Wire
MLS (disponível para uso geral desde abril de 2025), com Proteus também documentado; chamadas em conferência com AES-GCM 256.Proteção pós-quântica
SANKET
Sim, na versão atual: PQXDH com uma pré-chave Kyber pós-quântica obrigatória e o mecanismo de rotação de chaves SPQR (Triple Ratchet), além de uma troca de chaves híbrida X25519MLKEM768 na extremidade TLS.
Wire
Descrito como concebido para permitir agilidade criptográfica; não existe documentação pública sobre uma troca de chaves pós-quântica em produção.Grupos e chamadas cifrados de ponta a ponta por predefinição
SANKET
Sim. As mensagens individuais e de grupo, as reações, as difusões encriptadas e os ficheiros são sempre encriptados de ponta a ponta; as chamadas de voz e vídeo utilizam encriptação de fotogramas AES-256-GCM com cinco novas chaves de fotograma por segundo, dentro de SRTP AES-256-GCM.
Wire
Sim: mensagens, chamadas e ficheiros encriptados de ponta a ponta por predefinição, sem possibilidade de desativar a encriptação.Fornecedor de identidade do cliente (SSO / LDAP)
SANKET
Sim. Autenticação pelo diretório OIDC, SAML 2.0 ou LDAP do próprio cliente, provisionamento SCIM 2.0 e chaves de segurança FIDO2 para administradores.
Wire
Autenticação única SAML e aprovisionamento SCIM.Controles administrativos e governança de dispositivos
SANKET
Aprovação e revogação de dispositivos, modo de perda e apagamento remoto, listas de dispositivos assinadas, TLS mútuo de dispositivos, políticas de retenção, reencaminhamento e área de transferência, etiquetas de classificação definidas pelo cliente e um registo de auditoria com encadeamento de hashes para o SIEM do cliente.
Wire
Not publicly documentedSoberania dos dados (jurisdição, desenvolvido na Índia)
SANKET
Desenvolvido na Índia pela Tosh Defence. Os dados permanecem na jurisdição e na infraestrutura escolhidas pelo cliente, sem análise de dados por terceiros e sem dependência de serviços externos estrangeiros para a execução dos produtos.
Wire
Wire Swiss GmbH, Suíça; alojamento na Alemanha e na Irlanda.Integridade das versões e controle de atualizações
SANKET
Versões assinadas com Ed25519, verificadas antes da instalação, com bloqueio de versões, proteção contra a instalação de versões anteriores e reposição automática do estado anterior em caso de falha da atualização. O cliente decide quando atualizar, em linha ou através de um pacote autónomo assinado.
Wire
Not publicly documentedPlataformas
SANKET
Aplicações nativas para iOS, Android, Windows, macOS e Linux. Sem navegador por conceção: não existe cliente Web que possa ser atacado.
Wire
Computador, dispositivos móveis, navegador e tablet.Onde o Sanket se destaca
- Signal Protocol com proteção pós-quântica já implementada: PQXDH e mecanismo de ratchet SPQR para todas as mensagens.
- AES-256 ou nada: as chamadas recusam qualquer dispositivo ou proposta abaixo do perfil AES-256, e os conjuntos de algoritmos TLS utilizam apenas AES-256-GCM.
- TLS mútuo para cada dispositivo aprovado, com chaves geradas em armazenamento protegido por hardware nos telemóveis.
- Um fornecedor indiano sob jurisdição nacional, com licenciamento sem conexão à internet e pacotes assinados de versões para instalação sem conexão em ambientes isolados de outras redes.
- Listas de dispositivos assinadas, mantidas na instalação do próprio cliente.
Perguntas frequentes
Qual é uma boa alternativa ao Wire?
SANKET (Sanket.Chat), da Tosh Defence: Signal Protocol com PQXDH e SPQR pós-quânticos, AES-256 em todas as camadas e implementação desde uma nuvem dedicada até uma rede totalmente isolada, sob o controlo da organização.
O SANKET oferece suporte a SSO e SCIM?
Sim. SANKET permite o aprovisionamento por SCIM 2.0 e a autenticação através do diretório OIDC, SAML 2.0 ou LDAP da própria organização, além de chaves de segurança FIDO2 para administradores.
A aplicação SANKET é segura contra ataques pós-quânticos?
Sim. As mensagens utilizam PQXDH com uma pré-chave Kyber pós-quântica obrigatória e o mecanismo de atualização de chaves SPQR, e o ponto de terminação TLS disponibiliza a troca de chaves híbrida X25519MLKEM768 aos clientes que a suportam.
Fontes
- Livro branco sobre a segurança técnica e a arquitetura do SANKET, edição pública 2.0 (7 de outubro de 2026)
- Wire: segurança
- Wire e Stashcat: comparação
- Wire: edição empresarial
- Publicação no blogue do Wire: o Wire MLS está agora disponível para todos (24 de abril de 2025)
- Wire: autenticação única empresarial
- Documentação do Wire: início de sessão único
Sources checked on 7 October 2026. Os dados sobre os concorrentes provêm apenas das fontes indicadas. Quando não foi encontrada uma fonte pública, a célula apresenta «Não documentado publicamente». Os nomes dos produtos e das empresas são marcas comerciais dos respetivos titulares.
Mantenha suas comunicações sob seu próprio controle
Fale com a equipe da Tosh Defence sobre a sua implantação, desde uma instalação em nuvem dedicada até um ambiente totalmente isolado das redes, ou leia primeiro a arquitetura de segurança completa.