Het probleem met gegevensoverdracht tussen OT en IT zit in de architectuur, niet in de bediening.
OT-netwerken kunnen niet rechtstreeks met cloudsystemen verbinden. VPN’s zorgen voor een blijvend aanvalsoppervlak. Oudere protocollen (FTP, SMB, OPC-DA) zijn niet bestand tegen quantumcomputers. Sensordata onderweg wordt nu al verzameld om later te ontsleutelen: de dreiging van Harvest Now, Decrypt Later (HNDL). Ghost Pipe is een quantumveilig datakanaal, ontworpen voor de zonegrens van IEC 62443.Oplossing
Wat de relay is
Een relay die alleen in RAM werkt, voor de zonegrens in de DMZ. Geen VPN. Geen aanpassing van het netwerk. Geen blijvende opslag. Sensordata komt versleuteld binnen en wordt na aflevering vernietigd. De relay is een doorgeefluik, geen server.
U plaatst hem op een Raspberry Pi 3B+ op veldniveau, of op een Linux-server in uw bestaande DMZ.
Wat het niet is
Geen SCADA-historian. Geen vervanging van een VPN voor algemeen verkeer. Geen clouddienst waar u van afhankelijk bent: de relay draait in uw eigen infrastructuur, met uw eigen sleutels, en werkt zo nodig zonder externe verbinding.
Belangrijkste eigenschappen
- ML-KEM-768 (NIST FIPS 203): post-quantum sleuteluitwisseling, bestand tegen harvest-now-decrypt-later
- ML-DSA-65 (NIST FIPS 204): post-quantum apparaathandtekeningen bij elke overdracht
- Relay alleen in RAM: geen blijvende opslag, niets om in te breken, niets om bij een forensisch incident te kopiëren
- IEC 62443 SR 4.1, 4.2, 3.1, 2.8, 5.2: compliancedocumentatie inbegrepen en bijgehouden
- Native ARM64: draait op een Raspberry Pi 3B+ op veldniveau (minimaal 512 MB RAM)
- Zelf gehoste relay in uw DMZ: geen externe afhankelijkheid, geen SaaS-relatie nodig
- Rechtsgebied EU/DE: Hetzner, Duitsland, de beheerde relay valt niet onder de Amerikaanse CLOUD Act. Alle partijen met hun status: /partners
- Broncode inzichtelijk: BUSL-1.1, controleer elke regel op github.com/Apolloccrypt/paramant-relay
- CT-auditlog: log op basis van Merkle-bomen waarin knoeien zichtbaar wordt, elke overdracht cryptografisch aantoonbaar
PARAMANT / OT
Architectuur en installatie
Plaats in het Purdue-model
Gegevensstroom
Op de Ghost Pipe- en SDK-routes in deze brief bewaart de relay alleen versleutelde data, alleen in RAM, en alleen tot de aflevering. Hij weet niets van sensorwaarden, apparaat-ID’s of processtatus. Ook als de relay volledig wordt gekraakt, levert dat geen enkele leesbare data op.
Eigenschappen van de relay
- Ontvangt alleen versleutelde data: ziet nooit leesbare sensorwaarden
- Opslag alleen in RAM: gewist na aflevering of na afloop van de TTL
- Signed Tree Head, ondertekend met ML-DSA-65, na elke Merkle-update
- Inclusion proof per overdracht: iedereen kan knoeien opsporen
- Register van apparaatidentiteiten:
/v2/did/register
- WebSocket-streaming: lage vertraging voor doorlopende sensordata
- Koppeling met NATS.io: optioneel push-transport
- API-sleutels per apparaat: intrekken wordt ondersteund
- Geschikt voor air-gap: zelf gehost is geen internetverbinding nodig
- Docker Compose: één keer
docker compose up
Voorbeelden van koppelingen
Doorlopende sensormodus
Verstuurt elke 15 seconden één versleuteld pakket. Elk pakket wordt vernietigd zodra de ontvanger het leest. Interval en TTL zijn in te stellen.
Firmware verspreiden
Ondertekent het firmwarebestand met ML-DSA-65 en verspreidt het naar een apparaatgroep. Elk apparaat downloadt één keer en daarna wordt het pakket vernietigd.
Installatie aan de rand (Raspberry Pi)
Minimale hardware: Raspberry Pi 3B+ · 512 MB RAM · 4 GB SD · Ethernet. Geen scherm nodig. Wordt aangesloten op het netwerksegment van uw DMZ.
PARAMANT / OT
Compliancematrix IEC 62443
De tabel hieronder koppelt de System Security Requirements van IEC 62443-3-3 aan eigenschappen van het Ghost Pipe-protocol. Documentatie staat op paramant.app/docs#compliance-iec62443.
| Eis | Titel | Uitwerking in Ghost Pipe | SL-T |
|---|---|---|---|
| SR 4.1 | Vertrouwelijkheid van informatie | Versleuteling met ML-KEM-768 bij de client. Op de SDK- en Ghost Pipe-routes uit deze brief heeft de relay nooit leesbare data. Blobs met vaste opvulling, zodat verkeersanalyse niets ziet en de grootte van SCADA-berichten niet uitlekt. | 2–3 |
| SR 4.2 | Gebruikscontrole | API-sleutel per apparaat (pgp_ eindgebruiker, plk_ beheerder). Registratie van apparaatidentiteit via /v2/did/register. Sleutels zijn in te trekken. Audittrail per sleutel. |
2–3 |
| SR 3.1 | Integriteit van communicatie | Signed Tree Head met ML-DSA-65 (NIST FIPS 204) na elke update van de Merkle-root. Inclusion proof per overdracht: iedereen kan knoeien opsporen, ook onafhankelijke auditors. | 2–3 |
| SR 2.8 | Controleerbare gebeurtenissen | Openbare Certificate Transparency-log op paramant.app/ct. Er kan alleen iets bij, knoeien valt op en iedereen kan het controleren. Export naar SIEM wordt ondersteund (JSON + CSV). De hash van elke overdracht wordt gelogd. | 2–3 |
| SR 5.2 | Bescherming van de zonegrens | Zelf gehoste relay in de DMZ. Er gaat geen blijvende data over zonegrenzen. Geen directe verbinding tussen L2 en L3 nodig. In air-gapmodus werkt de relay zonder extern internet. | 2–3 |
| SR 1.1 | Identificatie van menselijke gebruikers | Aanmelden van apparaten via POST /v2/did/register met een publieke ECDH-sleutel. Een DID (Decentralized Identifier) per apparaat. Sleutels vervangen en intrekken wordt ondersteund. |
2 |
| SR 1.2 | Identiteit van softwareprocessen | Apparaatidentiteit gekoppeld aan een publieke ML-DSA-65-sleutel. Elke overdracht is ondertekend door het apparaat van herkomst. De relay kan de identiteit niet vervalsen. | 2 |
| SR 2.1 | Handhaving van autorisatie | Quotum en snelheidslimiet per sleutel. Toegang op basis van abonnement (free / pro / enterprise). De relay weigert sleutels boven de limiet van het abonnement met HTTP 402/429. | 2 |
Security Level Target
- SL-T 2: standaardinstelling van de beheerde relay
- SL-T 3: zelf gehoste relay, air-gapped, geen extern internet
- SL-T 3 vereist: zelf gehoste relay + eigen sector + geen afhankelijkheid van externe DNS
Onafhankelijke audit
- Beveiligingsaudit door RAPTOR afgerond in april 2026
- Alle kritieke en hoge bevindingen opgelost
- Volledig rapport op aanvraag beschikbaar voor serieuze geïnteresseerden
- Broncode: github.com/Apolloccrypt/paramant-relay
Let op: de compliancedocumentatie koppelt wat Ghost Pipe kan aan de eisen van IEC 62443. Het is geen certificering door een derde partij. Klanten die SL-T 3-certificering willen, schakelen voor formele toetsing een gecertificeerde IACS-keuringsinstantie in (bijvoorbeeld TÜV of DNV).
PARAMANT / OT
Installatie en prijzen
Prestaties ter referentie
| Payload | Relay (beheerd, EU/DE) | Zelf gehost, LAN | Opmerkingen |
|---|---|---|---|
| Sensorpakket van 4 KB | p50: ~80ms · p95: ~180ms | doorgaans <10ms | Inclusief TLS + ML-KEM-encapsulatie |
| Configuratieblob van 64 KB | p50: ~140ms · p95: ~320ms | doorgaans <20ms | Eén blok, base64-gecodeerd |
| Firmwareblok van 1 MB | p50: ~900ms · p95: ~2.1s | doorgaans <80ms | 500 MB per bestand, in blokken van 5 MB |
| Maximale blob van 5 MB | p50: ~4.2s · p95: ~9s | doorgaans <400ms | RAM-limiet per relay: 512 MB |
Benchmarks: verzender en ontvanger in de EU, Hetzner-relay in Duitsland, 100 Mbps uplink. Zelf gehost LAN: lokaal netwerk van 1 Gbps. Draai paramant-benchmark.py om het in uw eigen omgeving te toetsen.
Installatiemogelijkheden
Beheerde relay
iot.paramant.app, Hetzner DE. Gratis evaluatie: 1000 overdrachten per 30 dagen, geen daglimiet. Pro- en Enterprise-sleutels beschikbaar.
Geen eigen infrastructuur nodig. Binnen een paar minuten kunt u beginnen met evalueren.
Zelf gehost (Linux)
Elke Linux-server. Inclusief systemd-unit. Reverse-proxyconfiguratie voor nginx/Caddy wordt meegeleverd.
Aan de rand (Raspberry Pi)
Native ARM64. Minimaal 512 MB RAM. Draait zonder scherm. Geschikt voor een DMZ-segment op veldniveau.
Prijzen
- 1000 overdrachten per 30 dagen
- Geen daglimiet
- 500 MB per bestand, in blokken van 5 MB
- 1 OT-apparaat
- 500 overdrachten per maand
- 500 MB per bestand, in blokken van 5 MB
- 5 OT-apparaten
- WebSocket-streaming
- Eigen relay
- SLA / verwerkersovereenkomst op maat
- Onbeperkt aantal apparaten
- Compliancedocumentatie IEC 62443
- On-premise / air-gap
Community zelf gehost: BUSL-1.1, altijd gratis, tot 5 gebruikers. Uw server, uw rechtsgebied, uw sleutels. Voor evaluatie is geen licentie nodig.