️ Onafhankelijke open-source privacytool · gemaakt door één persoon · gemaakt in NL

ML-KEM-768 (NIST FIPS 203) · Post-quantum

Niemand kan meelezen.
Letterlijk niemand.

Berichten die letterlijk niemand kan lezen — ook geen enkele server. Net als bitcoin openbaar aantoonbaar, maar volledig onleesbaar.

[LOCK] Eind-tot-eind versleuteld

Nul account, nul telefoon

⚛ Post-quantum (NIST FIPS 203)

Geen installatie — werkt overal

// gemaakt in Nederland

Hoe werkt het? v

// RELAY_MEMPOOL · LIVE · PUBLIEK AANTOONBAAR · ONLEESBAAR

MSGS: — ONLINE: — UPTIME: — FLUSH IN: —

Wachten op pakketten...

Dit is alles wat de relay weet. Hash · Grootte · Tijdstempel. De inhoud is wiskundig onleesbaar.

Hoe werkt het?

Van leek tot expert

Kies je niveau — van simpele uitleg tot volledige crypto-specificatie.

        
        
        
      
0
Accounts
Geen naam, email of wachtwoord. Open de site en klaar.
0
Opgeslagen berichten
Berichten verdwijnen na 5 minuten van de server.
0
Meelezers
Zelfs de server die berichten doorstuurt kan de inhoud niet lezen.
// STAP VOOR STAP
1
Je opent paramant.app — de app maakt automatisch een geheim sleutelpaar aan.
Vergelijk het met een kluis: een publiek hangslot en een geheime sleutel. Het hangslot deel je. De sleutel hou je voor jezelf.
2
Je stuurt jouw adres naar je amice — via WhatsApp, sms, het maakt niet uit.
Je amice doet hetzelfde. Met die twee hangsloten wordt een geheim afgeleid dat alleen jullie kennen.
3
Elk bericht wordt vergrendeld met dit geheim voordat het verstuurd wordt.
De relay ziet alleen een verzegelde envelop. Na 5 minuten gooit hij hem weg.
4
Bel je amice en vergelijk de 8 veiligheidsnummers.
Gelijk? Dan luistert niemand mee. Dit is de enige stap die menselijke actie vereist.
// WAT ZIET DE SERVER?

            "Hé, alles goed?"
            → vergrendelen →
            a3f8c2d1e7b4...
            → relay →
            ???? (onleesbaar)
            → ontgrendelen →
            "Hé, alles goed?"
          
// WAT DE RELAY ZIET VS NIET ZIET
Relay ziet WEL

              hash-prefix16 hex tekens van SHA-256

              groottepakketgrootte in bytes

              tijdstiptimestamp ontvangst

              Bewaard max. 5 minuten — daarna auto-delete
            
Relay ziet NOOIT

              inhoudtekst, bestanden

              sleutelspubliek noch privé

              identiteitnamen, IP-adressen

              relatieswie met wie praat
            
// SLEUTELUITWISSELING — HYBRIDE

          LaagAlgoritmeWaartegen beschermt
KlassiekECDH P-256Huidige aanvallen, MITM
Post-quantumML-KEM-768 (NIST FIPS 203)Toekomstige kwantumcomputers
Master secretHKDF-SHA-256Beide gecombineerd
BerichtenAES-256-GCMVersleuteling + authenticatie
KEM re-injectieElke 8 berichtenPost-compromise recovery
// DREIGINGSMODEL
Geen risico
Passief afluisteren · kwantumcomputer · harvest-now/decrypt-later · replay-aanval
Laag risico
Relay-compromis (ziet alleen hash+bytes) · MITM (opgelost met veiligheidsnummers)
Buiten scope
Malware op apparaat · browser-extensies met DOM-toegang · fysieke toegang tot scherm
// KEY DERIVATION

          // Handshake

          ecdh_shared = ECDH-P256(alice_priv, bob_pub)

          kem_shared  = ML-KEM-768.Decapsulate(ct, alice_sk)

          master      = HKDF-SHA256(ecdh_shared ‖ kem_shared, "paramant-master-v1")


          // Ratchet chains

          chain_A = HKDF(master, "paramant-chain-A-v2")  ← A→B

          chain_B = HKDF(master, "paramant-chain-B-v2")  ← B→A


          // Per bericht

          msg_key    = HKDF(CK[n], "msg")

          CK[n+1]    = HKDF(CK[n], "chain")

          ciphertext = AES-256-GCM(msg_key, plaintext, iv, aad)

          aad        = "paramant:{seq}:{type}"


          // KEM re-injectie elke 8 berichten

          CK[n+1] = HKDF(CK[n] ‖ new_kem_shared, "kem-ratchet")
        
// BEKENDE BEPERKINGEN

          BeperkingImpactMitigatie
JS GC timingfill(0) niet gegarandeerd na V8-optimalisatieNative app — Rust zeroize gegarandeerd
Browser DOMExtensies kunnen pre-encrypt tekst lezenIncognito / native app
Geen formele auditSide-channel timing niet geauditeerdOpen-source — community-verificatie

Laag	Algoritme	Waartegen beschermt
Klassiek	ECDH P-256	Huidige aanvallen, MITM
Post-quantum	ML-KEM-768 (NIST FIPS 203)	Toekomstige kwantumcomputers
Master secret	HKDF-SHA-256	Beide gecombineerd
Berichten	AES-256-GCM	Versleuteling + authenticatie
KEM re-injectie	Elke 8 berichten	Post-compromise recovery

Beperking	Impact	Mitigatie
JS GC timing	fill(0) niet gegarandeerd na V8-optimalisatie	Native app — Rust zeroize gegarandeerd
Browser DOM	Extensies kunnen pre-encrypt tekst lezen	Incognito / native app
Geen formele audit	Side-channel timing niet geauditeerd	Open-source — community-verificatie

Het eerlijke verhaal

PARAMANT vs de rest

Andere apps zijn goed. Maar PARAMANT is beter.

Eigenschap	WhatsApp	Signal	️ Telegram	[LOCK] PARAMANT
Account nodig?	✗ Telefoonnummer	✗ Telefoonnummer	✗ Telefoonnummer	OK Helemaal niets
Server leest mee?	✗ Meta-servers	~ Signal-servers	✗ Telegram cloud	OK Optionele relay
Post-quantum?	✗ Niet bestand	~ Deels (PQXDH)	✗ Niet bestand	OK ML-KEM-768
Metadata bewaard?	✗ Wie, wanneer, wie	~ Hash + grootte · max 5 min	✗ Volledig	OK Nul metadata
Geen installatie nodig?	✗	✗	✗	OK Altijd
App installeren?	✗ Verplicht	✗ Verplicht	✗ Verplicht	OK Browser, klaar

Net als blockchain

Openbaar. Encrypted.
Transparant maar onleesbaar.

Iedereen kan zien dát er een gesprek plaatsvond. Maar niemand kan zien wie, wat of met wie.

Wat de relay ziet

ACTIEVE GEBRUIKERSLIVE

a3f8c2d1e7b4… 1.2 KB 14:23:41

7e9b1a4f2c8d… 2.8 KB 14:23:44

a3f8c2d1e7b4… 1.1 KB 14:24:02

f1d7a2e9c3b5… 10.3 KB 14:24:18

Hash-prefix · pakketgrootte · tijdstempel · max 5 min · daarna auto-delete

OK Dit is alles. De relay is als een openbare postbus — hij ziet alleen verzegelde enveloppen met een serienummer.

Wat niemand ziet

Namen en identiteiten

Wie het stuurde is onbekend. Adressen zijn wiskundige sleutels, geen namen.

De inhoud van berichten

Versleuteld met AES-256-GCM. Zonder de sleutel is het onleesbare ruis.

[NET]

IP-adressen en locatie

De relay zelf logt geen IPs. Cloudflare logt verbindingen op infrastructuurniveau — buiten onze controle. Gebruik Tor voor volledige IP-anonimiteit.

Met wie, wanneer, hoe lang

De hash koppelt niet terug naar personen. Twee berichten met dezelfde hash — dat is alles.

De beveiliging

Zes lagen bescherming

U hoeft dit niet te begrijpen. Maar het is er. Allemaal.

⚛

Quantum-bestendig

ML-KEM-768 + ECDH P-256. Beschermt ook als kwantumcomputers ooit beschikbaar worden.

NIST FIPS 203

[KEY]

Elke bericht eigen sleutel

AES-256-GCM ratchet. Oude berichten blijven veilig zelfs als iets later uitlekt.

Forward secrecy

[SYNC]

Zelf-herstellend

Elke 8 berichten een nieuwe kwantumsleutel. Een aanval op één bericht raakt nooit de rest.

KEM-injectie

[SEC]️

Geen herhaling mogelijk

Elk bericht heeft een uniek nonce. Hetzelfde pakket twee keer? Geblokkeerd.

Replay-bescherming

Verifieer de verbinding

Bel je amice en vergelijk veiligheidsnummers. Gelijk? Niemand luistert mee.

Safety numbers

Wiskundig uniek avatar

Jouw fractal-avatar én naam worden afgeleid van je sleutel via SHA-256. Altijd hetzelfde voor dezelfde sleutel.

SHA-256(pubKey)

De infrastructuur

Eigendom. Europees. Controleerbaar.

Relay op Hetzner (Duitsland, EU). Website via Cloudflare CDN. Geen opslag, geen logs van inhoud — onder Europees recht.

🇩🇪

Hetzner — Neurenberg

relay.paramant.app

De relay draait op een dedicated server in Duitsland. Striktste GDPR-handhaving in Europa. Geen Amerikaanse wetgeving (FISA, NSL).

EU · GDPR · eigendom

[CLOUD]️

Cloudflare — tunnel

paramant.app

De app en relay zijn bereikbaar via Cloudflare tunnel. Cloudflare ziet alleen versleuteld verkeer — nooit de inhoud van berichten.

TLS · DDoS-bescherming

[TOR]

Tor — hidden service

.onion adres

Voor maximale anonimiteit. Via Tor Browser is zelfs het IP-adres van de gebruiker onzichtbaar. Geen enkel knooppunt ziet het volledige pad.

csnmdkpqikrf6abad7ej4mqsftiyh2z2fg3nzpf4x4zbnh2ulbmq5mid.onion

^ klik om te kopiëren · open in Tor Browser

IP anoniem · Tor Browser

Eerlijk over de beperkingen transparantie

[!]

Geheugenisolatie is niet absoluut

Sleutels worden na gebruik gewist (fill(0)), maar JavaScript-engines kunnen data eerder kopiëren in RAM. Absolute geheugenisolatie vereist een native app — niet een browser.

[!]

Browser-extensies vallen buiten onze CSP

Een kwaadaardige extensie met DOM-toegang kan tekst onderscheppen vóór versleuteling. Gebruik PARAMANT in een browser zonder onbekende extensies — of in een privévenster.

[!]

Cloudflare ziet verbindingsmetadata

Cloudflare logt IP-adressen en tijdstempels van verbindingen op infrastructuurniveau — buiten onze controle. Gebruik Tor Browser voor volledige IP-anonimiteit.

[!]

Geen formele cryptografische audit

De implementatiechecks verifiëren dat alle componenten aanwezig en correct verbonden zijn — geen vervanging voor handmatig werk door gespecialiseerde cryptografen.

// WARRANT CANARY

PARAMANT heeft tot en met maart 2026 geen juridische bevelen, dagvaardingen, NSL-brieven of geheime overheidsopdrachten ontvangen om gebruikersdata te verstrekken, softwarewijzigingen door te voeren of encryptie te verzwakken.
Deze verklaring wordt maandelijks bijgewerkt. Als zij ontbreekt of niet bijgewerkt is — neem aan dat er iets mis is.

Laatste update: 28 maart 2026 · Mick Beer

Klaar voor echte privacy?

In de browser of als native app. Jouw keuze.

Of download de native app:

[LNX] Linux .deb [LNX] Linux .rpm [WIN] Windows .exe [APK] Android .apk

POST-QUANTUM · GEEN ACCOUNT · GEEN SERVER · GEEN COMPROMIS

Native app: Rust + Tauri 2 + ML-KEM-768 · GitHub

PARAMANT DRAAIT OP DONATIES

Geen advertenties. Geen investeerders.
Alleen jouw versleutelde bericht.

PARAMANT is vrij, open-source en zonder bedrijf erachter. Gemaakt in Nederland, alles in het Nederlands. De relay, hosting en ontwikkeling worden uitsluitend betaald uit vrijwillige donaties van gebruikers.

Geen donatie? Geen probleem — de tool blijft gratis. Vind je privacy het waard? Dan houd je met een bijdrage de relay online.

[LOCK] Houd de relay online

buymeacoffee.com/mickbeer

…

Jouw naam (uit jouw sleutel)

Jouw adres

deel dit met je amice

Genereren…

[SAVE] Download = volledige app op USB of lokaal.
Open in elke browser — geen internet nodig.

Gesprekken

Klik + om te verbinden

Welkom bij PARAMANT

Volg deze 4 stappen om veilig te appen met je amice.

Klik "Offline" (rechtsboven) om berichten automatisch te versturen

-> Klik op "Offline" — wordt Online. Duurt max. 30 sec.

ℹ️ De relay herverbindt automatisch als de verbinding wegvalt.

[COPY] Kopieer jouw adres

Klik op de groene Kopieer adres knop links. Jouw unieke adres wordt gekopieerd.

[SEND] Stuur het aan je amice

Plak het gekopieerde adres in een WhatsApp-bericht, e-mail of toon de QR-code.

> Verbind via + knop

Klik op + (rechtsboven in de sidebar) en plak het adres dat jouw amice jou stuurde.

Verifieer de verbinding

Bel je amice en vergelijk de veiligheidsnummers (knop Verifieer bovenin). Zelfde nummers = veilig.

Niemand kan meelezen. Letterlijk niemand.