Veelgestelde vragen

Drie niveaus, één filosofie. Privacy zou geen dreigingsmodel moeten vereisen, maar de middelen die haar beschermen, kunnen er wel op worden afgestemd.

• Arpokrat Messenger — voor iedereen. Gratis, zonder telefoonnummer, zonder account en zonder leercurve. Als je berichten stuurt, is dit voor jou: Arpokrat Messenger
• ArpokratOS Essential — voor de privacybewuste. Een ont-Googled, verhard Android voor wie serieuze privacy wil zonder GPS, bankapps of dagelijks gemak op te geven. Nog niet uitgebracht: ArpokratOS Essential
• ArpokratOS Hardened — voor professionals met een hoog risico, waar een gecompromitteerd toestel geen ongemak is maar een kritieke storing. GPS, Bluetooth en NFC zijn uitgeschakeld in de kernel, en het is een eenmalige licentie van $349: ArpokratOS Hardened

Hardened stelt isolatie boven integratie. Als je het Google Play-ecosysteem, gangbare sociale apps of back-ups in de cloud nodig hebt, is Essential — of een heel ander toestel — misschien beter voor je. Welk niveau bij welke situatie past, staat op de pagina voor wie Arpokrat bedoeld is

Arpokrat is een privébedrijf gevestigd in Zug, Zwitserland. We zijn onafhankelijk gefinancierd, nemen geen geld aan van Big Tech en drijven geen advertentiebedrijf. Elk product dat we uitbrengen vraagt om de minimale informatie waarop het kan functioneren, want gegevens die we nooit verzamelen, zijn gegevens die we nooit kunnen verliezen, verkopen of gedwongen worden af te staan.

De redenering daarachter staat op onze filosofiepagina

Geografie maakt deel uit van het beveiligingsmodel. Zwitserland biedt:

• Bescherming: strikte FADP-gegevensbeschermingswet; buiten de EU en EER, dus het bepaalt zijn eigen regels.
• Logbewaring: geen algemene bewaarplicht voor loutere-doorgeleidingsdiensten (relays).

Wat Zwitserland niet is, is een land zonder rechtshandhaving, en dat beweren we ook niet: het kent een regime voor rechtmatige interceptie, zoals elk ander rechtsgebied. Precies daarom publiceren we een ondertekende warrant canary

Omdat het standaardinternet op surveillance draait. De meeste “gratis” diensten worden betaald met gedragsdata — locatie, contacten, gesprekken, gewoonten — verzameld om geprofileerd en doorverkocht te worden.

Wij vinden dat privacy de standaardtoestand van een apparaat zou moeten zijn, en niet een instelling die je zelf moet gaan zoeken. Arpokrat bestaat zodat je kunt communiceren zonder geprofileerd te worden.

Nee — en dat zou ook niet nodig moeten zijn. “Vertrouw ons” is geen beveiligingseigenschap. Arpokrat is gebouwd als een zero-trust-architectuur: het systeem is zo ontworpen dat wij je berichten niet kunnen lezen en niet bij je sleutels kunnen, wat we ook zouden willen.

Waar je ons niet op ons woord hoeft te geloven, doe dat dan ook niet. Het protocol is publiek en gedocumenteerd op de protocolpagina

Onze warrant canary is ook PGP-ondertekend, zodat je onze operationele integriteit zelf kunt controleren

Een dienst kan wettelijk verboden worden je te vertellen dat hij een geheim overheidsbevel heeft ontvangen — maar hij kan niet gedwongen worden een ondertekende verklaring te blijven publiceren dat hij er nooit een heeft gekregen. Dus publiceren wij er een, PGP-ondertekend en gedateerd, en ondertekenen we hem opnieuw binnen een venster van 60 dagen.

Daarmee wordt afwezigheid het signaal. Als de canarypagina ooit wordt verwijderd, niet vóór de deadline wordt bijgewerkt, of als de PGP-handtekening de verificatie niet doorstaat, moet je ervan uitgaan dat Arpokrat gecompromitteerd is.

De huidige verklaring, de commando’s om hem te controleren en de vingerafdruk van de sleutel staan op de warrant canary-pagina

Vier dingen die je kunt controleren zonder ons om iets te vragen:

• De warrant canary. Download de ondertekende verklaring en de publieke sleutel die haar heeft ondertekend, en controleer dan de handtekening. De precieze commando’s en de te verwachten uitvoer staan op de warrant canary-pagina
• De PGP-vingerafdruk. Dezelfde sleutel ondertekent de canary en is met haar vingerafdruk gepubliceerd op onze contactpagina
• De broncode. De clients van Arpokrat zijn open source, en de relaysoftware ook, dus je kunt precies lezen wat we publiceren op github.com/Arpokrat
• De software die je flasht. De web-installer controleert een cryptografisch ondertekende releaselijst in je browser en verifieert elke image aan de hand van de gepubliceerde checksum voordat er iets naar de telefoon wordt geschreven.

Vergelijk de vingerafdruk met een bron die niet deze website is. Een vingerafdruk die je alleen hier hebt gezien, bewijst niets over ons.

Ja. De clients van Arpokrat zijn volledig open source en gelicentieerd onder de AGPLv3. Iedereen kan precies inspecteren wat de app doet — er zijn geen black boxes, geen verborgen telemetrie en geen backdoors die je op vertrouwen moet aannemen.

ArpokratOS is een fork van GrapheneOS, het verharde Android dat breed wordt gezien als de gouden standaard voor mobiele privacy. We erven de jarenlange securityreview in plaats van vanaf nul te beginnen, en voegen toe wat ontbreekt: een ingebouwde messenger, systeembrede Tor en radiovergrendeling op kernelniveau. GrapheneOS is open source, en de Arpokrat-specifieke toevoegingen zijn dat ook. We beweren niet dat we het in harding overtreffen — we geven het de eer.

Arpokrat Messenger is gebouwd op een open berichtenprotocol waarvan de specificatie en broncode publiek en onafhankelijk te controleren zijn: SimpleX

Onze eigen repositories staan op github.com/Arpokrat

Geen trackingcookies, geen analytics, geen advertentietechnologie, geen scripts van derden. Er is hier geen cookiebanner, omdat er niets is om je toestemming voor te vragen.

Eén functionele uitzondering, precies benoemd in plaats van als absolute uitspraak: het openen van onze contactpagina plaatst een strikt noodzakelijke sessiecookie met het CSRF-token dat het formulier beschermt tegen vervalste inzendingen. Hij identificeert niemand, hij voedt geen analytics en hij valt buiten de toestemmingsplicht — en daarom is er nog steeds geen banner. Ook de swap-widget bewaart een kleine hoeveelheid status in de session storage van je browser, zodat een offerte een verversing overleeft; die verlaat je apparaat nooit.

Nee. Wij leveren de software (ArpokratOS); jij levert de hardware — een Google Pixel die je zelf koopt. Dat is bewust.

Als wij je een telefoon zouden opsturen, kon die onderweg worden onderschept en gemanipuleerd. Een verzegelde Pixel lokaal kopen en hem zelf flashen sluit dat gat aan onze kant. Dat kan niet instaan voor Googles eigen hardwareleveringsketen; het haalt alleen Arpokrat uit de bewaringsketen. De volledige redenering staat op de ArpokratOS-pagina

Het komt neer op één zin: wat we niet verzamelen, kunnen we niet lekken.

Voor het gebruik van onze apps is helemaal geen persoonlijke informatie nodig. Voor het kopen van ArpokratOS zijn een naam, een e-mailadres en een land van verblijf nodig, uitsluitend voor de betalingsverwerking. Berichten die op bezorging wachten, staan alleen in vluchtig RAM op onze relays, nooit op schijf, met swap uitgeschakeld zodat het systeem dat geheugen niet naar opslag kan wegschrijven.

De volledige juridische tekst staat in ons privacybeleid

De infrastructuur achter die uitspraak is gedocumenteerd op de infrastructuurpagina

Ja — Arpokrat Enterprise is nu beschikbaar. Het omvat uitrol op maat van geharde toestellen en zelfgehoste communicatie-infrastructuur voor organisaties met verhoogde beveiligingseisen, inclusief gecoördineerd updatebeheer over een hele vloot en privérelays. Trajecten beginnen bij 10 toestellen.

Scope, samenwerkingsmodel en hoe je begint staan op de Enterprise-pagina

Gebruik een wachtwoordzin in plaats van een pincode, en mik op minstens 16 tekens — de standaardlengte van onze eigen wachtwoordgenerator

Een pincode van vier cijfers heeft tienduizend mogelijke waarden en is geen serieuze verdediging tegen iemand die het toestel in handen heeft. Lengte telt zwaarder dan exotische tekens: een lange wachtwoordzin van gewone woorden is makkelijker te onthouden en veel moeilijker te raden dan een korte reeks gemengde tekens.

Dat hangt ervan af of je een SIM-kaart gebruikt, en dat onderscheid doet ertoe — dus hier staat het voluit.

• Satellietpositionering staat uit. De GNSS-driver (GPS) is uitgeschakeld op kernelniveau, net als Bluetooth en NFC, en het scannen van radio’s op de achtergrond, inclusief wifi-scannen, staat uit. Er is geen instelling om ze te heractiveren en geen driver die een app kan bereiken, dus geen enkele app op het toestel kan je positie uit satellieten aflezen.
• Een SIM-kaart maakt de telefoon lokaliseerbaar voor het mobiele netwerk. Dit is geen ontwerpkeuze van ArpokratOS, en geen enkel besturingssysteem kan daar iets aan veranderen: elke telefoon met een actieve SIM-kaart meldt zich voortdurend aan bij nabijgelegen zendmasten, en de provider — samen met iedereen die rechtmatig of onrechtmatig toegang tot die provider heeft — kan hem lokaliseren tot op de nauwkeurigheid van die cel.

Dus: met een SIM-kaart erin om te bellen en SMS te versturen ben je lokaliseerbaar op netwerkniveau, precies zoals op elke andere telefoon. Als dat deel uitmaakt van je dreigingsmodel, gebruik het toestel dan zonder SIM-kaart, alleen via wifi, en communiceer via Arpokrat Messenger

Over the air. ArpokratOS ontvangt over-the-air (OTA) updates op het toestel zelf — je hebt geen computer nodig en hoeft niet opnieuw te flashen om bij te blijven. Je eenmalige licentie omvat levenslange updates voor dat toestel.

Release-manifesten voor ArpokratOS worden ondertekend op een speciale, air-gapped machine die nooit met internet in aanraking is geweest, zoals beschreven op de infrastructuurpagina

Technisch gezien wel, door rechtstreeks een APK (Android Package Kit — het installatieformaat van Android) te installeren. Er staat geen Google Play Store op het toestel.

We raden het af: elke app van derden vergroot het aanvalsoppervlak, en veel ervan bevatten precies de trackers die de rest van het systeem juist moet verwijderen.

Ja — gewone GSM-gesprekken en SMS werken als je een SIM-kaart plaatst. Daar volgen twee dingen uit, en beide zijn eigenschappen van mobiele netwerken en niet van ArpokratOS:

• Gesprekken en SMS zijn niet end-to-end versleuteld en kunnen worden onderschept of door de provider worden afgestaan.
• Een actieve SIM-kaart maakt de telefoon lokaliseerbaar voor het mobiele netwerk, zoals uitgelegd in het antwoord over lokaliseren hierboven.

Gebruik voor communicatie die beide vermijdt Arpokrat Messenger

Nog niet, niet ingebouwd. ArpokratOS bevat geen ingebouwde e-mailclient — een veilige, metadata-minimaliserende client is in ontwikkeling, en tot die tijd richt het toestel zich op directe communicatie.

In de tussentijd kun je een e-mailapp naar keuze installeren via APK, net als elke andere app van derden. Dezelfde waarschuwing geldt: elke app van derden vergroot het aanvalsoppervlak, en veel ervan bevatten precies de trackers die de rest van het systeem juist moet verwijderen.

Op Android wel. ArpokratOS werkt alleen op Pixel, maar de Arpokrat Messenger-app draait op elke moderne Androidtelefoon — installeer hem via de Google Play Store of download de APK rechtstreeks.

iOS komt binnenkort, net als desktopversies voor Windows, macOS en Linux. De actuele status van elk platform staat in het downloadpaneel onderaan deze pagina en op de Messenger-pagina

De publieke-sleutelcryptografie van vandaag berust op wiskunde die een voldoende krachtige kwantumcomputer ooit zou kunnen kraken — en een tegenstander kan versleuteld verkeer nu opnemen om het later te ontsleutelen, een dreiging die bekendstaat als “Harvest Now, Decrypt Later”.

De sleuteluitwisseling van Arpokrat Messenger voegt een post-quantumlaag toe naast de klassieke encryptie die al gebruikt wordt, in plaats van die te vervangen. Die sleuteluitwisseling gebruikt Streamlined NTRU Prime — een bewuste keuze boven de door NIST gestandaardiseerde Kyber, die de engineers van SimpleX vermeden vanwege specifieke cryptografische zorgen die tijdens de standaardisatie ervan naar voren kwamen.

We zijn hier bewust terughoudend over: post-quantumcryptografie is de huidige best-practice verdediging, geen permanente garantie. Het legt de lat vandaag al aanzienlijk hoger, met een duidelijk upgradepad naarmate standaarden zich ontwikkelen. De volledige uitleg staat op de protocolpagina

Zo weinig als het protocol toelaat. Arpokrat Messenger is gebouwd op SimpleX, dat helemaal geen gebruikers-ID’s kent — geen telefoonnummers, geen e-mailadressen, zelfs geen willekeurige gebruikers-ID’s.

Een relay ziet een versleutelde payload aankomen in een anonieme wachtrij en later worden opgehaald, zonder dat iets een van beide gebeurtenissen aan een persoon koppelt. Elke relay draagt maar één kant van een doelbewust gesplitst pad, dus geen enkele server bezit beide helften die nodig zijn om twee partijen te verbinden. Hoe dat precies werkt, staat op de protocolpagina

Ja. Arpokrat Swap is een non-custodiale aggregator: het toont live aanbiedingen van onafhankelijke aanbieders, elk beoordeeld met A–D op hoeveel identiteitsverificatie ze vragen, en de swap loopt rechtstreeks tussen jou en de aanbieder die je kiest. Je geld raakt onze infrastructuur nooit.

Hij zit ingebouwd in de Messenger-app en draait ook in je browser op Arpokrat Swap

Niet aan Arpokrat. Er is geen account, geen ID-controle en niets voor ons om te verifiëren.

Swap-aanbieders zijn onafhankelijke bedrijven met hun eigen beleid, en daarom draagt elke aanbieding een KYC-score van A (geen KYC) tot D (KYC vereist), getoond voordat je je vastlegt. Je kiest per transactie zelf de afweging tussen prijs en privacy.

Arpokrat rekent 1,5% op swaps. Dat is de enige vergoeding die we rekenen: er zijn geen kosten op overboekingen van wallet naar wallet, geen accountkosten en geen abonnement.

In het bedrag dat je te zien krijgt voordat je een swap bevestigt, zijn de netwerk- en aanbiederkosten al verwerkt, dus het getoonde bedrag is het bedrag dat je krijgt. Die 1,5% is wat het ecosysteem van Arpokrat financiert — infrastructuur, app-ontwikkeling en ArpokratOS — inclusief de gratis Messenger-app.

Hoe aanbiedingen naast elkaar worden vergeleken: Arpokrat Swap

In plaats van elk gesprek via de servers van één bedrijf te routeren, draait Arpokrat blinde relays in vijf onafhankelijke rechtsgebieden.

De relays worden door Arpokrat beheerd, en we beweren niet anders. Wat verdeeld is, is de juridische blootstelling — geen enkel rechtsgebied bereikt met zijn procedures het hele netwerk. De kaart staat op de infrastructuurpagina

Een blinde relay is een dead-drop. Hij ontvangt een cryptografisch verzegeld pakket, zet het in een tijdelijke anonieme wachtrij en geeft het door zodra de eigenaar van de wachtrij het ophaalt.

• Geen kennis van identiteiten: de relay ziet een payload aankomen en worden opgehaald — niets dat een van beide gebeurtenissen aan een persoon koppelt.
• Geen enkele relay koppelt zender aan ontvanger: elke relay draagt maar één kant van een doelbewust gesplitst pad, dus geen individuele server bezit beide helften.
• Vluchtig van opzet: berichten worden in RAM bewaard en gewist zodra ze zijn afgeleverd.

De architectuur is volledig gedocumenteerd op de protocolpagina

Elk heeft een gegevensbeschermingskader dat op ons van toepassing is en geen algemene bewaarplicht voor doorvoer- of relaydiensten. Maleisië en Mauritius liggen buiten de “14 Eyes”-inlichtingenallianties; Zwitserland ligt buiten de EU en EER en bepaalt zijn eigen regels; het IJslandse IMMI-kader is geschreven om bronnen en vrije meningsuiting te beschermen; de Panamese Law 81 is juridisch onafhankelijk van zowel de Amerikaanse als de EU-kaders.

Het punt van die spreiding is juridische diversiteit: geen enkele overheid bereikt met haar procedures elke relay. De redenering per land staat op de infrastructuurpagina

Onze relays loggen geen verbindingen. Logging op daemonniveau is uitgeschakeld, en berichten die op bezorging wachten staan in RAM en worden gewist zodra ze zijn afgeleverd, dus er is geen routeringsgeschiedenis of verbindingsregistratie om te bewaren, te overleggen of te verliezen.

Eén precieze uitzondering aan de kant van de website, omdat een absolute uitspraak die je niet kunt controleren minder waard is dan een afgebakende uitspraak die je wel kunt controleren: het contactformulier en de swap-widget gebruiken je IP-adres kortstondig, om snelheidslimieten af te dwingen en misbruik te blokkeren. De teller staat in vluchtige, geheugengebaseerde opslag, wordt nooit naar een logbestand geschreven en verdwijnt bij een herstart. Het adres wordt gebruikt, niet opgeslagen. De volledige verklaring staat in ons privacybeleid

Ja, en er zijn twee routes.

De relaysoftware van Arpokrat is open source en gratis zelf te hosten. Als je liever niet op de onze vertrouwt, draai dan je eigen — verbind hem met het netwerk en routeer je eigen verkeer via infrastructuur die alleen jij beheert. Een installatiegids komt binnenkort op onze blog.

Organisaties die specifieke, beheerde relays binnen hun eigen infrastructuur nodig hebben, kunnen die in plaats daarvan laten uitrollen als onderdeel van een Enterprise-traject. Scope en proces staan op de Enterprise-pagina

Enterprise is een uitrol op maat in plaats van een product dat je van de pagina koopt. Elk traject wordt afgestemd op je omgeving, je dreigingsmodel en je nalevingsverplichtingen, en begint bij 10 toestellen.

• Vlootbeveiliging op schaal — rol geharde toestellen uit over teams en locaties en houd tegelijk centrale controle over hoe ze zijn geconfigureerd, met beveiligingsbeleid bepaald per team, rol of uitrol.
• Communicatie-infrastructuur op maat — laat de berichtgeving van je organisatie draaien op zelfgehoste relays binnen je eigen perimeter, met netwerksegmentatie die dat verkeer scheidt van niet-vertrouwde netwerken.
• Toestellen flashen op locatie — beschikbaar als optie, doorgaans voor grotere uitrollen: ons team kan toestellen bij jou ter plaatse flashen en verifiëren.

De volledige scope staat op de Enterprise-pagina

Ja. Een kleinere pilot of proof-of-concept kan worden geregeld voordat je je volledig vastlegt, beschikbaar op aanvraag. Vertel ons over de eisen van je organisatie, dan stemmen wij een uitrol daarop af; alle aanvragen worden vertrouwelijk behandeld.

Begin het gesprek vanaf de Enterprise-pagina

Ja — white-labeluitrol maakt deel uit van het Enterprise-aanbod. Je kunt je eigen visuele identiteit, naamgeving en taalgebruik in de app toepassen over zowel het besturingssysteem als de messenger, mogelijkheden in- of uitschakelen per rol en omgeving, en de app leveren via je eigen beheerde kanaal in plaats van een openbare appstore.

Wat van een eigen huisstijl kan worden voorzien en wat vastligt, staat uiteengezet op de Enterprise-pagina

Een reactie binnen 12 uur, 24/7/365 — korter dan de toezegging van minder dan 24 uur die bij een consumentenlicentie voor ArpokratOS hoort, en inbegrepen bij elk enterprisetraject.

Een vast team verzorgt de uitrol, harding en onboarding, en blijft daarna betrokken gedurende de hele looptijd van de uitrol: gecoördineerde, geverifieerde updates over je hele vloot, op een schema dat past bij je bedrijfsvoering, en hetzelfde team dat gedurende die hele periode beschikbaar is voor beveiligingsincidenten. De volledige beschrijving staat op de Enterprise-pagina

• Arpokrat Messenger is gratis. Geen account, geen abonnement en geen betaalde variant — gefinancierd, samen met de rest van het ecosysteem, door de 1,5% die we op swaps rekenen.
• ArpokratOS Hardened is een eenmalige licentie van $349 met levenslange updates voor één toestel. Je koopt zelf een compatibele Google Pixel (8 t/m 10a) — de telefoon is niet inbegrepen — en flasht hem zelf.
• ArpokratOS Essential heeft geen bevestigde prijs. Het is nog niet uitgebracht, en er is ook geen bevestigde releasedatum of definitieve functielijst.
• Enterprise wordt per traject geoffreerd, vanaf 10 toestellen, op basis van de werkelijke eisen van je organisatie in plaats van een vast pakket.

De licentie en wat die omvat staan uiteengezet op de ArpokratOS-pagina

Een licentie kopen: bestelpagina

Vandaag: Bitcoin (BTC) en Monero (XMR). Betalingen lopen via onze eigen zelfgehoste infrastructuur, zonder financiële tussenpersoon tussen jou en ons.

Kaart en bankoverschrijving komen binnenkort. Ze zijn nog niet beschikbaar, en we zeggen dat liever dan een betaalmethode aan te prijzen die je bij het afrekenen niet echt kunt gebruiken. Als je organisatie in de tussentijd zonder cryptovaluta moet aankopen, neem dan contact op met ons team

Als crypto nieuw voor je is, is één gereguleerde Zwitserse optie Mt Pelerin

Daar kun je per bankoverschrijving kopen zonder identiteitsverificatie onder een vastgestelde daglimiet — rond CHF 1.000 op het moment van schrijven — en per kaart met minimale verificatie daarboven. Drempels en regels veranderen, dus controleer hun actuele voorwaarden voordat je erop vertrouwt. Dit is een verwijzing, geen financieel advies.

Een reactie binnen 24 uur, 24/7/365. Commerciële ondersteuning is inbegrepen bij een ArpokratOS Hardened-licentie — geen communityforum. Er is ook geen ticketsysteem en geen account: antwoorden komen per e-mail, van een mens.

Enterprisetrajecten hebben een kortere toezegging — een reactievenster van 12 uur — beschreven op de Enterprise-pagina

Ja — binnen 14 dagen, mits de licentie nooit is gebruikt.

Een terugbetaling is mogelijk tot 14 dagen na aankoop, op één voorwaarde: de licentie mag nooit aan een toestel gebonden zijn geweest. Dat gebeurt de eerste keer dat een licentiesleutel wordt gebruikt om een telefoon te flashen — dat is wat de licentie geldig maakt voor dat toestel, en het kan niet ongedaan worden gemaakt.

Een sleutel die per ongeluk is gekocht en nooit is gebruikt, kan dus worden terugbetaald. Een licentie waarmee al een Pixel is geflasht, niet.

Om er een aan te vragen, neem contact met ons op