Nio skillnader mellan E-underskrift och fristående underskriftstjänst

E-legitimering och digitala underskrifter är en nödvändig del av samhällets grundläggande digitala infrastruktur, både för offentlig och privat sektor. Digitala underskrifter har ofta utförts genom så kallad E-underskrift där underskriften sker med programvaror installerade i användarens egen dator eller mobila enhet. Det som numera rekommenderas av DIGG, Myndigheten för digital förvaltning, är fristående underskriftstjänst. Som namnet visar sker underskriften genom kommunikation med en fristående tjänst.

Vad är det då som skiljer E-underskrift och fristående underskriftstjänst åt?

Erling Sjöström, twodays expert på e-legitimering och underskrifter, har listat nio väsentliga skillnader som vi gärna delar med dig som är delaktig i hur din organisation eller ditt företag hanterar underskrifter.

1. Valfrihet kring utförande och teknik

E-underskrift – Respektive utgivare av e-legitimationen bestämmer vem som kan signera och hur underskrift kan utföras.
Fristående underskriftstjänst – Kan utföras oavsett utgivare och teknik, t ex med AD-konto, SMS eller Google Authenticator.

2. Standardiserat eller proprietärt

E-underskrift – Använder proprietära/företagsspecifika lösningar från respektive IAM-leverantör och e-legitimation.
Fristående underskriftstjänst – Använder standarder såsom ETSI för hur underskrift ska utföras, oavsett leverantör och e-legitimation.
IAM = identity and access management, system för att hantera vilka användare som har tillgång till nätverk och resurser.

3. Behov av programvara

E-underskrift – Förutsätter att utgivaren av e-legitimationen tillhandahåller en programvara för underskrift.
Fristående underskriftstjänst – Kräver inga programvaror för underskrift som ska installeras på någon dator eller mobiltelefon.

4. Reglerna i eIDAS

E-underskrift – Kan inte användas för underskrift med utländska e-legitimationer inom EU.
Fristående underskriftstjänst – Kan användas för alla utländska e-legitimationer inom EU, vilket innebär att kraven i eIDAS uppfylls.
eIDAS = EU-regler för elektronisk identifiering över gränserna.

5. Var underskriften utförs

E-underskrift – Utförs i användarens personliga dator, smartcard eller mobiltelefon.
Fristående underskriftstjänst – Utförs i en skyddad och kontrollerad serverhall med dedikerad hårdvara och HSM-moduler.
HSM = hardware security module, processor för kryptering.

6. Var hemliga nycklar lagras

E-underskrift – Genereras och lagras i användarens personliga dator, smartcard eller mobiltelefon.
Fristående underskriftstjänst – Användarens privata nyckel genereras och skyddas med stöldsäkra HSM-moduler i en drifthall.

7. Livslängd för nycklar

E-underskrift – Använder samma nycklar för alla underskrifter under 1-5 år.
Fristående underskriftstjänst – Använder nya nycklar för varje underskrift.

8. Spårbarhet

E-underskrift – Tidpunkten för underskrift på vissa programvaror kan inte säkerställas.
Fristående underskriftstjänst – Möjliggör att tidpunkten för underskrift kan garanteras för maximal spårbarhet.

9. Säkerhet

E-underskrift – Respektive utgivare av e-legitimationer bestämmer algoritmer, nyckellängder och giltighetstider.
Fristående underskriftstjänst – Möjliggör harmonisering av algoritmer, nyckellängder och giltighetstider oavsett utgivare av e-legitimationer.