TLS gennemgås i to trin: først et register over alle certifikater og de servere, der bruger dem, og derefter en måling af hver servers TLS-opsætning mod SAMSIK’s tre niveauer. Registret fanger udløbne og glemte certifikater. Målingen fanger gamle protokoller og svage parametre.
SAMSIK udgav vejledningen “Sikker brug af Transport Layer Security (TLS)” den 11. november 2026, med et bilag over konfigurationsparametre. Den er den nyeste danske målestok på området.
Vejledningens tre niveauer
Vejledningen sorterer parametre i tre niveauer:
- God. De sikreste valg, som vurderes at være fremtidssikre.
- Tilstrækkelig. Et tilstrækkeligt niveau i dag, men der findes mere sikre valg, eller der er mulige fremtidige trusler.
- Utilstrækkelig. Usikre, ineffektive eller ikke god praksis.
Algoritmer til nøgleudveksling og autentificering i niveauet “Tilstrækkelig” vurderes at kunne brydes af en tilstrækkelig kraftig kvantecomputer. Tabellen opdateres løbende i retning af kvantesikker kryptografi, og listen er ikke udtømmende.
Det, bilaget siger om versioner, nøgleudveksling og RSA
Bilaget er en tabel med mange rækker. Tre af dem gengives her:
- TLS-version · God: TLS 1.3 · Tilstrækkelig: TLS 1.2 · Utilstrækkelig: TLS 1.1, TLS 1.0, SSL 3.0, 2.0 og 1.0
- Nøgleudveksling · God: Hybride med ML-KEM (X25519MLKEM768, SecP256r1MLKEM768, SecP384r1MLKEM1024) · Tilstrækkelig: ECDHE · Utilstrækkelig: DHE, RSA, DH, ECDH, KRB5, NULL, PSK, SRP
For RSA-nøgler skelner bilaget mellem nøgler på mindst 3072 bit og kortere nøgler, og en fodnote siger, at RSA kun skal bruges til signaturer, ikke til nøgleudveksling.
Bilaget har også rækker for bl.a. bulk-kryptering, hash, kurver og genforhandling. Dem gengiver vi ikke her. Læs dem i bilaget selv, før I bruger dem som målestok.
Den statslige vejledning til de tekniske minimumskrav kræver, at myndighedernes mailprotokoller krypteres med mindst TLS 1.2. Det svarer til niveauet “Tilstrækkelig” for versionen. Kravet binder kun staten.
Måling af serverne
Til at se, hvilke parametre en web- eller mailserver understøtter, nævner SAMSIK’s side sikkerpånettet.dk “eller tilsvarende”. Det er en måling udefra af det, serveren tilbyder. Den skal gentages for hver offentlig tjeneste, også loginsider til fjernadgang og webmail.
Interne servere måles ikke af et værktøj på internettet. Her må opsætningen læses på serveren, eller en intern måling bruges. Det, der skal frem, er det samme: hvilke versioner og hvilke nøgleudvekslinger der tilbydes.
Fundene sorteres efter niveau. Alt i “Utilstrækkelig” er et fund. “Tilstrækkelig” er ikke et fund i dag, men det er værd at notere, hvor serveren kunne tilbyde “God”.
Registret over certifikater
I DORA-standarden, forordning 2024/1774, skal finansielle enheder føre et register over alle certifikater og udstyr til opbevaring af certifikater, i hvert fald for de IKT-aktiver, der bærer kritiske eller vigtige funktioner. Standarden kræver også øjeblikkelig fornyelse, inden certifikater udløber (artikel 7, stk. 4 og 5).
For de udbydere, forordning 2024/2690 dækker, kræver bilaget en tilgang til nøgleforvaltning, der bl.a. omfatter udstedelse og erhvervelse af offentlige nøglecertifikater og datoer for aktivering og deaktivering (punkt 9.2, litra c). Andre er ikke bundet af det.
For alle andre er registret praksis, men en enkel praksis. For hvert certifikat noteres:
- navn eller navne, det dækker
- udsteder
- udløbsdato
- servere og tjenester, der bruger det
- hvem der fornyer det, og hvordan
Udtrækket kan bygges fra serverne selv, fra udstyret, fra udstederens portal og fra en måling af de offentlige tjenester. Et certifikat, der står på en server, men ikke i registret, er et fund. Det er et certifikat i registret uden ejer også.
Vi skriver ingen frister for, hvor længe certifikater må være gyldige. De læste kilder har ingen.
Det kan driften selv
Registret kan driften bygge uden hjælp. Begynd med de offentlige tjenester, fordi de kan måles udefra, og fortsæt med servere og udstyr indefra. Sæt en påmindelse i god tid før hvert udløb, og giv den til en funktion frem for en person.
Målingen af TLS-versionerne kan også laves internt. Skriv resultatet ind i registret ud for hver tjeneste, så registret både viser certifikatet og den opsætning, det bruges i.
Hvad det kræver, og hvad det koster at lade være
Det kræver en liste over tjenester med TLS, en måling af hver og et register. Driften kan lave det selv. Det tunge er at finde certifikater på udstyr, ingen tænker på, fx printere, lagersystemer og serverkort.
Et udløbet certifikat stopper en tjeneste uden varsel. En server, der tilbyder TLS 1.0, giver forbindelser, SAMSIK kalder utilstrækkelige. Begge dele findes, uden at nogen har valgt dem, fordi ingen har set efter.
Det skal I lade være med
- At måle kun hjemmesiden · loginsider, mail og fjernadgang bruger også TLS.
- At lade fornyelse afhænge af én persons kalender · registret skal have en ejer pr. certifikat.
- At bruge bilagets øvrige rækker uden at læse dem selv · tabellen er detaljeret og opdateres.
Det skal gennemgangen kunne vise
- ☐ Et register over certifikater med udløb, brug og ejer.
- ☐ En måling af TLS-versioner og nøgleudveksling for hver tjeneste.
- ☐ Ingen tjenester med versioner i niveauet “Utilstrækkelig”, eller en plan for dem.
- ☐ Fornyelse af certifikater, før de udløber.
Kilder
- SAMSIK, Sikker brug af Transport Layer Security (TLS) (11. november 2026), læst 13. november 2026.
- SAMSIK, Bilag: TLS-konfiguration (november 2026), rækkerne for TLS-version, nøgleudveksling og RSA, læst 13. november 2026.
- SAMSIK, Vejledning til de tekniske minimumskrav til it-sikkerhed i staten (september 2025), afsnit 3.2, læst 13. november 2026.
- Delegeret forordning (EU) 2024/1774, artikel 7, læst 13. november 2026.
- Gennemførelsesforordning (EU) 2024/2690, bilaget, punkt 9.2, læst 13. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv jeres offentlige tjenester op, og mål for hver, hvilke TLS-versioner den tilbyder.
Læs også: Transportkryptering af mail · Webservere og omvendt proxy
→ Kontakt · Tlf. 70 13 63 23 · Teknisk sikkerhedsgennemgang hos Nielco IT
