Sanket и Threema: альтернатива Threema для суверенных организаций
У Threema и Sanket есть общие преимущества: для регистрации не нужен номер телефона, а развёртывание возможно на собственных серверах организации и в физически изолированной сети. В текущей версии Sanket дополнительно предлагает постквантовые протоколы PQXDH и SPQR, вход через собственный каталог организации, подписанные списки устройств, взаимную аутентификацию устройств по TLS и зашифрованные приоритетные широковещательные рассылки. Поставщик Sanket находится в Индии.
О Threema
Трима ГмбХ · Швейцария
Threema - швейцарский защищённый мессенджер для частных лиц (Threema), организаций (Threema Work) и развёртывания на собственных серверах (Threema OnPrem). Он обеспечивает сквозное шифрование сообщений, медиафайлов и звонков, а также названий групп и списков участников, использует протокол Ibex и не требует номера телефона для регистрации. В феврале 2026 года компания объявила о работе над гибридными постквантовыми технологиями совместно с IBM Research.
Sanket и Threema: параллельное сравнение
| Критерий | SANKET | Трима |
|---|---|---|
| Кто контролирует инфраструктуру | Заказчик. По одной выделенной установке на каждую организацию, на принадлежащей ей или выбранной ею инфраструктуре, без управляемого поставщиком сервиса на пути передачи сообщений. | Серверы Threema в Цюрихе или собственные серверы заказчика при использовании Threema OnPrem. |
| Варианты развертывания | Выделенная установка в любом выбранном заказчиком облаке и регионе (или на инфраструктуре Tosh Defence), на серверах заказчика либо в полностью изолированной от сетей среде; на одном сервере или в конфигурации высокой доступности с восстановлением на второй площадке. | Размещаемый сервис или самостоятельное размещение Threema OnPrem, в том числе в полностью изолированных от сетей средах. |
| У кого находятся ключи и кто контролирует идентификацию | Заказчик и его пользователи. Ключи создаются на каждом устройстве и защищены аппаратными средствами хранения; идентификаторами служат Sanket ID, контролируемые заказчиком, без необходимости привязки к личному номеру телефона. | Случайный идентификатор Threema без обязательного номера телефона; привязка номера телефона или адреса электронной почты необязательна. |
| Протокол шифрования | Signal Protocol реализован через официальную библиотеку libsignal от Signal, прошедшую независимый аудит. Сообщения защищены шифрованием AES-256-CBC и проверкой подлинности HMAC-SHA256 внутри libsignal; для файлов и звонков используется AES-256-GCM; для TLS применяются только наборы шифров с AES-256-GCM. | Ибекс (с 2023 года). |
| Постквантовая защита | Да, в текущем выпуске: PQXDH с обязательным постквантовым предварительным ключом Kyber и храповым механизмом SPQR (тройной храповой механизм), а также гибридный обмен ключами X25519MLKEM768 на пограничном узле TLS. | Гибридный алгоритм ML-KEM запланирован совместно с IBM Research (анонсирован в феврале 2026 года). |
| Сквозное шифрование групп и звонков включено по умолчанию | Да. Личные и групповые сообщения, реакции, зашифрованные широковещательные сообщения и файлы всегда защищены сквозным шифрованием; для голосовых и видеозвонков применяется шифрование кадров AES-256-GCM с пятью новыми ключами для кадров в секунду внутри SRTP AES-256-GCM. | Да: текстовые и голосовые сообщения, медиаданные и звонки защищены сквозным шифрованием, как и названия групп и списки участников. |
| Поставщик удостоверений заказчика (SSO / LDAP) | Да. Вход через собственный каталог заказчика по протоколам OIDC, SAML 2.0 или LDAP, создание учётных записей через SCIM 2.0 и аппаратные ключи безопасности FIDO2 для администраторов. | Not publicly documented |
| Средства администрирования и управление устройствами | Одобрение и отзыв доступа устройств, режим потери и удаленное стирание данных, подписанные списки устройств, взаимная аутентификация устройств по TLS, политики хранения сообщений, пересылки и буфера обмена, метки классификации, определяемые заказчиком, и журнал аудита с цепочкой хешей для системы SIEM заказчика. | Портал администрирования локальной установки, поддержка MDM, а также название, значок и цвета приложения под брендом заказчика. |
| Суверенитет данных (юрисдикция, разработано в Индии) | Разработано в Индии компанией Tosh Defence. Данные остаются в выбранной заказчиком юрисдикции и на выбранной им инфраструктуре. В продуктах нет аналитики сторонних поставщиков и зависимости от зарубежных компонентов при работе. | Threema GmbH, Швейцария; серверы в Цюрихе. |
| Целостность выпусков и контроль обновлений | Выпуски подписаны с помощью Ed25519 и проверяются перед установкой; предусмотрены фиксация версии и защита от отката на предыдущую версию, а при сбое обновления автоматически восстанавливается прежнее состояние. Заказчик сам решает, когда обновляться: через интернет или с помощью подписанного автономного пакета. | Not publicly documented |
| Платформы | Нативные приложения для iOS, Android, Windows, macOS и Linux. Отсутствие браузерного клиента предусмотрено архитектурой: атаковать через него невозможно. | iOS, Android, настольные системы и веб-версия. |
Кто контролирует инфраструктуру
SANKET
Заказчик. По одной выделенной установке на каждую организацию, на принадлежащей ей или выбранной ею инфраструктуре, без управляемого поставщиком сервиса на пути передачи сообщений.
Трима
Серверы Threema в Цюрихе или собственные серверы заказчика при использовании Threema OnPrem.Варианты развертывания
SANKET
Выделенная установка в любом выбранном заказчиком облаке и регионе (или на инфраструктуре Tosh Defence), на серверах заказчика либо в полностью изолированной от сетей среде; на одном сервере или в конфигурации высокой доступности с восстановлением на второй площадке.
Трима
Размещаемый сервис или самостоятельное размещение Threema OnPrem, в том числе в полностью изолированных от сетей средах.У кого находятся ключи и кто контролирует идентификацию
SANKET
Заказчик и его пользователи. Ключи создаются на каждом устройстве и защищены аппаратными средствами хранения; идентификаторами служат Sanket ID, контролируемые заказчиком, без необходимости привязки к личному номеру телефона.
Трима
Случайный идентификатор Threema без обязательного номера телефона; привязка номера телефона или адреса электронной почты необязательна.Протокол шифрования
SANKET
Signal Protocol реализован через официальную библиотеку libsignal от Signal, прошедшую независимый аудит. Сообщения защищены шифрованием AES-256-CBC и проверкой подлинности HMAC-SHA256 внутри libsignal; для файлов и звонков используется AES-256-GCM; для TLS применяются только наборы шифров с AES-256-GCM.
Трима
Ибекс (с 2023 года).Постквантовая защита
SANKET
Да, в текущем выпуске: PQXDH с обязательным постквантовым предварительным ключом Kyber и храповым механизмом SPQR (тройной храповой механизм), а также гибридный обмен ключами X25519MLKEM768 на пограничном узле TLS.
Трима
Гибридный алгоритм ML-KEM запланирован совместно с IBM Research (анонсирован в феврале 2026 года).Сквозное шифрование групп и звонков включено по умолчанию
SANKET
Да. Личные и групповые сообщения, реакции, зашифрованные широковещательные сообщения и файлы всегда защищены сквозным шифрованием; для голосовых и видеозвонков применяется шифрование кадров AES-256-GCM с пятью новыми ключами для кадров в секунду внутри SRTP AES-256-GCM.
Трима
Да: текстовые и голосовые сообщения, медиаданные и звонки защищены сквозным шифрованием, как и названия групп и списки участников.Поставщик удостоверений заказчика (SSO / LDAP)
SANKET
Да. Вход через собственный каталог заказчика по протоколам OIDC, SAML 2.0 или LDAP, создание учётных записей через SCIM 2.0 и аппаратные ключи безопасности FIDO2 для администраторов.
Трима
Not publicly documentedСредства администрирования и управление устройствами
SANKET
Одобрение и отзыв доступа устройств, режим потери и удаленное стирание данных, подписанные списки устройств, взаимная аутентификация устройств по TLS, политики хранения сообщений, пересылки и буфера обмена, метки классификации, определяемые заказчиком, и журнал аудита с цепочкой хешей для системы SIEM заказчика.
Трима
Портал администрирования локальной установки, поддержка MDM, а также название, значок и цвета приложения под брендом заказчика.Суверенитет данных (юрисдикция, разработано в Индии)
SANKET
Разработано в Индии компанией Tosh Defence. Данные остаются в выбранной заказчиком юрисдикции и на выбранной им инфраструктуре. В продуктах нет аналитики сторонних поставщиков и зависимости от зарубежных компонентов при работе.
Трима
Threema GmbH, Швейцария; серверы в Цюрихе.Целостность выпусков и контроль обновлений
SANKET
Выпуски подписаны с помощью Ed25519 и проверяются перед установкой; предусмотрены фиксация версии и защита от отката на предыдущую версию, а при сбое обновления автоматически восстанавливается прежнее состояние. Заказчик сам решает, когда обновляться: через интернет или с помощью подписанного автономного пакета.
Трима
Not publicly documentedПлатформы
SANKET
Нативные приложения для iOS, Android, Windows, macOS и Linux. Отсутствие браузерного клиента предусмотрено архитектурой: атаковать через него невозможно.
Трима
iOS, Android, настольные системы и веб-версия.В чём преимущества Sanket
- Постквантовая защита сообщений в текущей версии: PQXDH с обязательным предварительным ключом Kyber и храповым механизмом SPQR.
- Интеграция с системой управления идентификацией заказчика: SCIM, OIDC, SAML, LDAP и ключи безопасности FIDO2 для администраторов.
- Списки устройств с цифровой подписью и взаимная аутентификация по TLS для каждого одобренного устройства.
- Зашифрованная приоритетная рассылка с подтверждением получения и метками уровня секретности, заданными заказчиком и находящимися внутри зашифрованного сообщения.
- Индийский поставщик и возможность работы в юрисдикции Индии для индийских государственных и оборонных заказчиков.
Часто задаваемые вопросы
Какую альтернативу Threema выбрать для организации?
SANKET (Sanket.Chat) от Tosh Defence. Как и Threema, платформа не требует номера телефона и может быть развёрнута на собственных серверах или в изолированной сети. Дополнительно она предлагает постквантовые протоколы PQXDH и SPQR, собственного поставщика удостоверений организации и подписанные списки устройств.
Нужен ли для Sanket номер телефона?
Привязка учётной записи к потребительскому номеру телефона не требуется. Пользователи идентифицируются по Sanket ID, а при развёртывании без поставщика услуг SMS номера телефонов не собираются.
Защищён ли обмен сообщениями в SANKET от квантовых атак уже сегодня?
Да. В каждом сеансе через официальную библиотеку libsignal от Signal используются PQXDH с обязательным постквантовым предварительным ключом Kyber и механизм SPQR наряду с Double Ratchet.
Источники
- Технический документ SANKET по безопасности и архитектуре, общедоступная редакция 2.0 (7 октября 2026 года)
- Threema: безопасность
- Трима для размещения на собственных серверах
- Блог Threema: будущее, защищённое от квантовых угроз (24 февраля 2026 г.)
- Личная версия Трима
- Блог Threema: анонимность
Sources checked on 7 October 2026. Сведения о конкурентах взяты только из перечисленных источников. Если общедоступный источник не найден, в ячейке указано «Нет общедоступных сведений». Названия продуктов и компаний являются товарными знаками соответствующих владельцев.
Возьмите свои коммуникации под собственный контроль
Обсудите с командой Tosh Defence варианты развёртывания - от выделенной установки в облаке до инфраструктуры, полностью изолированной от сетей, или сначала ознакомьтесь с полным описанием архитектуры безопасности.