客户自主控制：基础设施、密钥和规则均由您掌控
Tosh Defence 开发的 SANKET (Sanket.Chat) 让客户全面掌控其通信相关的一切：自有基础设施、密钥、身份提供方、策略、更新时机、品牌、数据保留和部署拓扑。部署范围从客户自行选择的云环境到完全与外部网络物理隔离的网络。这种深度控制是 SANKET 的决定性优势，而托管式消息服务根本不是为提供这种控制而设计的。
加密决定谁能读取消息。控制权决定其他一切：由谁运行服务、谁能获准接入、哪些设备受信任、何时变更软件，以及记录存储在何处。使用 Sanket，这些事项全部由您在自身的安全边界内掌控。
您的基础设施和密钥
Sanket 的每套部署均专供单一机构使用，并运行在该机构选定的环境中：其选择的任意区域的云账户、Tosh Defence 托管环境、自有数据中心或封闭网络。消息传输路径中不存在由供应商运营的服务。
用户私钥在其设备上生成，并由硬件支持的存储区保护。服务器端密钥保存在部署环境内不可导出的密钥存储区中。只有公开的许可证验证密钥和版本验证密钥来自 Tosh Defence。
您的身份提供方和管理员
组织自行决定身份的创建方式：管理员配置、一次性邀请（默认方式），或通过自身目录使用 SCIM 2.0。注册可通过 LDAP 或 Active Directory 核验，管理员可通过组织自有的 OpenID Connect 或 SAML 2.0 身份提供方登录。系统拒绝公共身份提供方，绝不会仅因某人登录就创建账户。
管理员使用 FIDO2 安全密钥进行身份验证，并在权限限定的角色范围内操作；每项管理操作均记录在采用 SHA-256 哈希链的审计日志中。
- 供管理员使用的 FIDO2 安全密钥
- 通过您自有的身份提供方实现单点登录
- 通过 SCIM 2.0 自动处理人员入职、调岗和离职
- 按权限范围划分的管理员角色
您的设备
设备管理权归组织所有。每台设备在接收任何数据前均须获得批准，持有硬件保护的密钥，列于所属账户的已签名设备列表，并通过设备双向 TLS 出示由客户证书颁发机构签发的专属客户端证书。管理员可随时将设备设为丢失模式、撤销设备授权或远程擦除设备。
您的策略、保留期限和品牌标识
安全、消息、文件、通话、群组、留存、通知和集成均由组织制定的租户策略管理。密级标签由客户定义，最多可设置 8 个按级别排序的标签。平台自有的使用情况分析数据保留在部署环境内部，可针对整个部署环境关闭或锁定为关闭状态。
Sanket.Work 安装实例支持使用客户自有品牌，因此用户看到的是所属组织的名称和品牌标识。
由您决定更新时机，更新版本均经过签名
发布版本均为已签名的软件包，并附有软件物料清单。安装程序在加载前会验证签名及每一项哈希值，拒绝已过期的发布版本（防冻结保护），也拒绝早于已记录版本的任何发布版本（防回滚保护）。何时安装由组织的变更审批部门决定；升级过程会执行健康检查，并在失败时自动回滚。联网升级可选，通过控制台执行升级默认关闭。
技术验证材料
在 SANKET 白皮书中了解详情
本页面的每项陈述均在公开的 Sanket 技术安全与架构白皮书中完整阐述，无需注册即可免费阅读。
在 Sanket 中，客户掌控意味着什么？
客户自主拥有并决定其基础设施、密钥、身份提供方、策略、更新时间、品牌、数据保留规则和部署拓扑。每套部署仅供一个组织使用，可部署于选定的云环境，也可部署于完全物理隔离的环境。
谁持有加密密钥？
用户私钥在其自有设备上生成，并存储在由硬件提供保护的存储区中。服务器端密钥保留在客户的部署环境内。Tosh Defence 不持有任何客户密钥。
我们能否使用自己的身份提供方？
是。可通过 SCIM 2.0 自动配置用户，并依据 LDAP 或活动目录进行核验；管理员还可通过您自己的 OpenID Connect 或 SAML 2.0 身份提供方，结合 FIDO2 安全密钥登录。
谁决定何时更新 Sanket？
由您决定。只有获得贵方变更审批部门批准，才会安装经过签名的版本。已过期和旧版本会被拒绝，升级失败时会自动回滚。
Sanket能否使用我们机构的品牌标识？
是的。Sanket.Work 部署支持品牌定制，因此用户看到的是机构自己的名称和品牌标识。
我们能否自行设定数据保留期限？
是。消息、广播、通话记录、提醒和阅后即焚消息的保留期限由机构管理员设定。
什么是设备双向 TLS 认证？
每台获批设备都持有自己的客户端证书。该证书基于设备本地生成的密钥创建，由客户的证书颁发机构签发，并在每次连接时出示，作为独立的设备身份凭据。