OIDC blir en del av Sweden Connects federerade underskrifter

Sweden Connects övergång till OpenID Connect handlar inte längre bara om inloggning. Det tekniska ramverk som publicerades den 28 oktober 2026 omfattar även federerade underskrifter. En fristående underskriftstjänst får därmed en specificerad väg för att låta en OpenID Provider medverka när användaren godkänner en underskrift.

Utgåvan ersätter decemberversionen från 2024. OIDC-profilen ställer nu krav på stöd för signaturgodkännande, samtidigt som profilerna för underskriftsbegäran, svar och certifikat har uppdaterats. Det betyder inte att en vanlig OIDC-inloggning är likvärdig med att underteckna ett dokument.

Godkännandet måste vara en särskild handling

Datum: 28 oktober 2026 · Status: Publicerat tekniskt ramverk · Betydelse: Hög för federerade underskriftstjänster

I OpenID Connect Profile for Sweden Connect 1.1 är stöd för Signature Approval obligatoriskt för en OpenID Provider som följer profilen. Att OP:n själv skapar en kryptografisk signatur i det separata Signing-flödet är däremot valfritt.

Två krav markerar skillnaden mot vanlig autentisering. OP:n måste visa ett gränssnitt som gör det tydligt för användaren att åtgärden gäller en underskrift. Autentiseringen för signaturgodkännandet får inte sparas i OP:ns session för senare användning som vanlig single sign-on.

Tre steg behöver därför hållas isär: att identifiera vem användaren är, att inhämta godkännande av underskriftsåtgärden och att skapa den kryptografiska dokumentunderskriften. Ett lyckat ID-tokenflöde ersätter inte dessa senare steg.

Fristående underskriftstjänster får en OIDC-väg

Tre sammanhängande specifikationer uppdateras: Implementation Profile for using OASIS DSS in Central Signing Services 1.7, DSS Extension for Federated Central Signing Services 1.6 och Certificate Profile for Certificates Issued by Central Signing Services 1.3.

Grundmodellen är kvar. E-tjänsten skickar en underskriftsbegäran till en fristående underskriftstjänst. Tjänsten låter en identitetsleverantör autentisera användaren och inhämta godkännandet, framställer underskriften och lämnar tillbaka ett underskriftssvar. OASIS DSS används för begäran och svar; OIDC är ett alternativ i steget mot identitetsleverantören.

Begäran kan nu uttrycka undertecknarens identitetsuppgifter som OIDC-claims i OidcAuthenticationAttributes. Underskriftstjänsten ska matcha samtliga efterfrågade attribut mot en giltig token eller ett giltigt intyg från vald identitetsleverantör och avvisa begäran om de inte överensstämmer.

Certifikatprofilen kan dessutom bära OpenID Connect Authentication Context Information (OACI) i underskriftscertifikatets Authentication Context-utökning, som alternativ till SAML-baserad SACI. Information om hur undertecknaren autentiserades kan därmed följa med även när OIDC används.

Interoperabiliteten beror på detaljer. För begärd autentiseringskontext ska acr anges som essential claim i OIDC:s claims-parameter, inte med acr_values. Ett signeringsmeddelande skickas vidare genom https://id.oidc.se/param/signRequest enligt OIDC Swedens Signature Extension 1.2. Krypterade SignMessage stöds endast för SAML-IdP:er: begäran ska avvisas när den valda identitetsleverantören är en OP.

Säkerhetskrav utan nytt PQC-mandat

Ramverket innehåller även Sweden Connect – Security Requirements 1.0, med gemensamma minimikrav för kryptografi och hantering av signeringsnycklar. Specifikationen reglerar bland annat hur nya nycklar ska annonseras inför byte.

Kraven avser etablerad RSA- och elliptisk-kurv-kryptografi. De innebär inte ett nytt krav på postkvantalgoritmer för ID-token, underskriftscertifikat eller dokumentunderskrifter. Framtida kryptoagilitet och långtidsverifierbarhet måste bedömas separat utifrån faktiska standarder och interoperabilitetskrav.

Betydelsen för IDOmbud

För IDOmbud är detta ett tydligare gränssnitt mellan identitetsleverantör och fristående underskriftstjänst. En extern OP kan stödja signaturgodkännande utan att själv skapa dokumentunderskriften. Underskriftstjänsten behöver samtidigt kontrollera begäran, identitetsuppgifter och det underlag som lämnas tillbaka.

Det nya ramverket är ett underlag för implementation och test, inte ett besked om att varje ansluten e-legitimation redan erbjuder OIDC-baserat signaturgodkännande. Det medför heller inte automatiskt en kvalificerad underskrift enligt eIDAS; andra krav gäller för underskriftstjänst, certifikat och signaturframställning.

Källor och referenser

• Nytt tekniskt ramverk med specifikationer för OpenID Connect

  swedenconnect.se · Nyhet, 28 oktober 2026

• Sweden Connect Technical Framework – October 2026

  docs.swedenconnect.se · Officiell version och ändringsförteckning

• OpenID Connect Profile for Sweden Connect 1.1

  docs.swedenconnect.se · Signaturgodkännande, gränssnitt och sessionskrav

• Implementation Profile for using OASIS DSS in Central Signing Services 1.7

  docs.swedenconnect.se · Underskriftsflöde, identitetsmatchning och OIDC-anrop

• DSS Extension for Federated Central Signing Services 1.6

  docs.swedenconnect.se · Begäran, svar och identitetsuppgifter

• Certificate Profile for Certificates Issued by Central Signing Services 1.3

  docs.swedenconnect.se · Autentiseringskontext i underskriftscertifikat

• Signature Extension for OpenID Connect 1.2

  oidc.se · Signeringsbegäran och Signature Approval

• Sweden Connect – Security Requirements 1.0

  docs.swedenconnect.se · Kryptografiska minimikrav och nyckelhantering