WAYF signerer metadata med ny nøgle fra og med 1. december 2025

WAYFs metadata er de konfigurations­oplysninger som tilsluttede systemer skal bruge for at kunne kommunikere igennem WAYF; de udgives i standardiserede XML-dokumenter, som kan findes her.

Dokumenterne er forsynet med en digital under­skrift fra WAYF; og systemerne som læser dem, kan så sikre sig at dokumenterne rent faktisk stammer fra WAYF, ved at kontrollere om underskriften (eller signaturen) passer med WAYFs offentlige signerings­nøgle (WAYFs signerings-”certifikat“) for metadata. Den nøgle kan man se her på WAYFs website og også rekvirere ved henvendelse til WAYF-sekretariatet.

Digitale underskrivelses­nøgler og underskrifter fås i forskellige længder og er sikrere (dvs. sværere at gætte eller forfalske) jo længere de er. WAYFs nuværende (såkaldte RSA-)nøgle til metadata­underskrivelse er 2048 bits lang, hvilket endnu regnes for tilstrækkeligt sikkert; men for at imødegå voksende angrebs­kapacitet i form af hurtigere computere og forbedrede algoritmer går WAYF 1. december 2025 over til at bruge en 3072 bits lang RSA-nøgle til signering af sine metadata­dokumenter. Hermed vedligeholdes sikkerheden; men kontrollen (eller verifikationen eller valideringen) af underskrifterne vil gå noget langsommere med den længere nøgle – hvilket er grunden til at man generelt ikke bruger længere nøgler end hvad der svarer til ens konkrete sikkerheds­behov.

For bruger­organisationer og tjeneste­udbydere i WAYF indebærer nøgle­skiftet at man hvis ens system læser metadata dynamisk fra WAYF, skal have konfigureret den nye underskrivelses­nøgle i sit system senest 1. december 2025. Og at man hvis man kun kan have én nøgle konfigureret til validering af metadata­underskrift, skal konfigurere WAYFs nye nøgle netop 1. december. Hvis ens system derimod ikke læser metadata dynamisk fra WAYF, men har en statisk og manuelt udført konfiguration for WAYF, så skal man intet foretage sig. Hvilket formentlig er tilfældet for langt de fleste organisationer.

Den nye nøgle er den nederste af de to som ses i bunden af den her side og kan også rekvireres ved henvendelse til WAYF-sekretariatet.

På grund af den vigende sikkerhed i 2048 bits lange RSA-nøgler erstatter WAYF også snart den som er i brug hver gang der sker en login- eller logout­transaktion gennem WAYF – den såkaldte trafik­nøgle. Alle organisationer som deltager i WAYF, vil blive varslet direkte når det skal ske, og de skal i gang med at konfigurere de nye 3072 bits lange trafik­nøgler. Overgangen burde ikke berøre ret mange af WAYFs bruger­organisationer; men tjeneste­udbyderne vil skulle have indarbejdet den nye konfiguration inden den dag hvor WAYF tager sin nuværende 2048 bits lange trafik­nøgle ud af drift. Både gamle og og nye nøgler vil fungere i en overgangs­periode, så man uanset sit systems indretning får mulighed for at skifte helt uden nedetid. Men det vender vi tilbage om senere; hér gælder det alene den RSA-nøgle som bruges til kontrol af digital signatur på metadata fra WAYF.