Buypass gir opp utstedelse av digitale nøkler: – Forferdelig trist

Buypass AS slutter å tilby TLS/SSL-sertifikater med virkning fra 15. oktober 2025. Det gjelder også ACME-baserte sertifikater.

Avviklingen skyldes en kombinasjon av sterk internasjonal konkurranse, fallende omsetning på sertifikatmarkedet og økende krav og kostnader knyttet til drift og vedlikehold, opplyser de i en kunngjøring.

Buypass har vært sertifiseringsmyndighet (CA) i en årrekke. Det vil si en aktør som utsteder digitale sertifikater, som bekrefter identiteten til nettsteder og organisasjoner og muliggjør sikker kryptert kommunikasjon over internett.

De var den eneste norske CA-en, men også en av få skandinaviske og europeiske utstedere.

Selskapet presiserer at tilbudet for virksomhetssertifikater og eSegl videreføres, og at deres øvrige løsninger innen ID og signering ikke er berørt av beslutningen å avvikle utstedelse av TLS/SSL.

Et tap for bransjen

Avviklingen er et tap for bransjen, for Norge og for alternativer fra Europa, mener sikkerhetsekspert Per Thorsheim.

– Det er bred enighet om at det er forferdelig trist. Jeg har full forståelse for at dette er en kommersiell avgjørelse. Det koster penger å drive sertifikatutstedelse, og i mange år har overgangen til gratisalternativet Let's Encrypt vært massiv, sier Thorsheim til Digi.

Buypass har også støttet gratis sertifikater via det automatiserte ACME-protokollsystemet.

Når man setter opp sertifikater, for eksempel på en Linux-maskin, er imidlertid Let’s Encrypt ofte standardvalget. Det er gratis, lett tilgjengelig og enkelt å ta i bruk, ifølge eksperten.

Peker på geopolitikk

Hvorfor er det trist at Buypass gir seg som utsteder? Per Thorsheim peker blant annet på det urolige verdensbildet.

– Den geopolitiske situasjonen og NSM sine anbefalinger har over mange år lagt vekt på å bruke norske utstedere. Buypass har vært den norske aktøren som mange har støttet seg på. Det er viktig å ha europeiske alternativer – det finnes få sertifikatutstedere i Europa, påpeker han.

Telia er et hederlig unntak, som har tilbudt sikkerhetssertifikater i årevis. Ifølge Thorsheim er noen aktører i Sveits, og muligens Hellas, men ellers få alternativer i vår del av verden.

– Hvordan disse vil overleve kommersielt, både ved salg av kommersielle sertifikater og ved å tilby gratissertifikater, er usikkert, mener den norske sikkerhetseksperten.

Digi har spurt Nasjonal sikkerhetsmyndighet (NSM) om hvordan Buypass sin beslutning påvirker deres råd, og om de har en liste over andre anbefalte sertifikatutstedere. Saken oppdateres ved svar.

Én million sertifikater

Avviklingen er kunngjort nesten på dagen ett år etter at Buypass markerte utstedelse av TLS-sertifikat nummer 1.000.000. Den milepælen ble feiret med kake.

Hvor mange av disse sertifikatene som fortsatt er i bruk, er ikke kjent, men historisk har Buypass utstedt et betydelig antall sikkerhetssertifikater – både til norske og internasjonale kunder.

For eksisterende kunder vil allerede utstedte TLS/SSL-sertifikater forbli gyldige frem til de utløper eller sperres, opplyser selskapet nå.

Buypass skal fortsette å tilby sperre- og sertifikatstatustjenester i hele gyldighetsperioden. Siste dag for bestilling, fornying eller erstatning av TLS/SSL-sertifikater vil være 15. oktober 2025, og den siste utstedelsen vil skje innen 31. oktober 2025. Etter dette vil ingen nye sertifikater bli utstedt.

Buypass understreker at selskapet fortsatt vil videreføre og utvikle sine øvrige tjenester innen elektronisk ID, signering og virksomhetssertifikater.