Permalänk
Medlem

Digitala signaturer, BankID m.m.

Hej,

Har försökt hitta matnyttig beskrivning av hur digitala signaturer fungerar på ett tekniskt plan, särskilt i Sverige med integration till BankID.

De flesta beskrivningar är väldigt juridiskt översiktliga (förklaring av koncept enligt eIDAS) eller säljiga (företag som säljer signaturtjänster).

Ponera att man vill skapa en plattform där användarna X och Y båda ska signera ett dokument (kallat A).

Som jag har förstått det är konceptet ungefär enligt följande:

Både X och Y ska ha var sin 'unique signing key'. Fråga: Behöver man skapa denna själv åt X respektive Y eller hanteras detta genom integration med BankID?

När väl "signering" skett så ska dokumentet A låsas, vilket görs med ett eget certifikat (dvs för plattformen) som man erhåller av en licensierad certifikat-tillhandahållare?

Permalänk
Medlem
Skrivet av gomoc:

Hej,

Har försökt hitta matnyttig beskrivning av hur digitala signaturer fungerar på ett tekniskt plan, särskilt i Sverige med integration till BankID.

De flesta beskrivningar är väldigt juridiskt översiktliga (förklaring av koncept enligt eIDAS) eller säljiga (företag som säljer signaturtjänster).

Ponera att man vill skapa en plattform där användarna X och Y båda ska signera ett dokument (kallat A).

Som jag har förstått det är konceptet ungefär enligt följande:

Både X och Y ska ha var sin 'unique signing key'. Fråga: Behöver man skapa denna själv åt X respektive Y eller hanteras detta genom integration med BankID?

När väl "signering" skett så ska dokumentet A låsas, vilket görs med ett eget certifikat (dvs för plattformen) som man erhåller av en licensierad certifikat-tillhandahållare?

Den som signerar med BankID/eller BankID innehar en privat nyckel och cert kryptografiskt signerat av BankID. BankID har också ett inbyggt API för att att signera godtycklig data, dock finns det en längdbegränsning här, så det man rent tekniskt bör signera är hash-summan av dokumentet, typ sha256 eller någon annan standard som det inte finns någon kollisionsattack på.

Hela poängen är dock att ingen tredjepart (förutom BankID och användare) ska ha den privata nyckeln, så du själv ska inte lagra några sådana om du vill ha ett säkert system.

Permalänk
Medlem

@dlq84: Tack!

Man använder då BankIDs API för att signera data (av praktiska skäl kanske hash av ett dokument). Hur går det till om det är två privatpersoner som ska signa samma dokument? Lagrar man person As signering (bekräftelse från BankID med annan metadata) samt person Bs signering (samma data) i ett sammanställande dokument? Har inte riktigt förstått hur certifikat utställt av en "CA" kommer in i spelet.