Signport är Knowits egenutvecklade tjänst för fristående e-underskrifter och e-legitimering. En del av utvecklingsarbetet är att hålla den uppdaterad för att säkerställa att vi alltid levererar en säker och digitalt resilient lösning till marknaden. I det här blogginlägget kommer jag att gå djupare in på hur det görs med hjälp av kvantsäkra algoritmer.
Idag kan varje avropande kund välja vilken algoritm som skall användas vid underskrift med Signport. NIST har publicerat nya algoritmer som är kvantsäkra, genom urvalsprocess och tävling för att få fram bästa algoritmen. Där fanns två nya algoritmer som kan appliceras för underskrifter och certifikat:
Sammantaget innebär det en liten påverkan på storleken på ett underskrivet dokument att enbart använda kvantsäkra algoritmer. Det finns däremot indikationer när de nya algoritmerna har testats i en HSM på att det inte är någon större skillnad mot RSA eller ECDSA.
Det korta svaret är nej - det krävs en hel del steg innan underskrifter och certifikat kan skapas med dessa algoritmer. Förklaringen ligger i att Signport använder sig av speciell hårdvara för att skapa underskriftsnycklar samt skriva under för en användare. Denna speciella hårdvara kallas Hardware Security Module och är ett system speciellt konstruerat för att hantera kryptografiska nycklar som krävs för exempelvis en underskrift.
För HSM-hårdvara kräver eIDAS att leverantörer använder en certifierad hård- och mjukvara. Signport använder en hårdvara från Thales, där det planeras att släppa en certifierad mjukvara som kan använda de ovanstående algoritmerna tidigt i 2027.
Förutom att skapa stödet för algoritmerna i hårdvara måste Thales genomgå en certifiering av programvaran samt genomgå rigorösa tester för att skapa en version som vi kan använda i Signport. Först när det är gjort kan vi installera den nya certifierade versionen och modifiera programvaran för att använda dessa nya algoritmer. Efter det behöver vi skapa en helt ny certifikatstruktur med nya certifikat och nycklar. När allt detta är på plats kan vi börja testa nya underskrivna dokument med både gamla och nya algoritmer vilket kommer kunna ske under våren 2027 som tidigast.
Våra kunder som vill börja använda sig av dessa algoritmer behöver använda vårt testsystem. När testerna är klara kommer en produktionssättning genomföras, och vi förväntar oss att den finns tillgänglig för samtliga kunder under andra halvan av 2027.
Det finns även en rad frågeställningar som berör tidsstämplingstjänsten. Den behöver uppdateras till att använda dessa algoritmer för att få dagens funktionalitet när en PDF skrivs under. Det kommer troligtvis att komma stöd i alla ETSI-standarder eller motsvarande som krävs för att stödja hur en underskrift ska se ut med postkvantumalgiritmer. Detta är inget stort och besvärligt, snarare en del av det nya normala. Med jämna mellanrum behövs algoritmer bytas ut för att hållas säkra, och det behöver finnas med i alla organisationers planering och hanterande. Jag själv har varit med om flera stora skiften av algoritmer under mina 34 års erfarenhet, och varje gång har vi blivit mer och mer digitalt resilienta.