Criptografie asimetrică (cheie publică / cheie privată)

Criptografia asimetrică se bazează pe o pereche de chei legate matematic: cheia privată (secretă, păstrată într-un HSM sau un QSCD) și cheia publică (distribuită liber într-un certificat). Pentru a semna un document, semnatarul calculează amprenta documentului și o cifrează cu cheia sa privată; oricine poate verifica semnătura decriptând această amprentă cu cheia publică și comparând-o cu hash-ul documentului original. Algoritmii dominanți sunt RSA (chei 2048–4096 biți) și ECC (curbele P-256, P-384). RSA 2048 biți este recomandat până în 2030 de NIST; ECC P-256 oferă un nivel de securitate echivalent cu chei de 10× mai scurte (câștig în performanțele HSM). Rezistența la calculatoarele cuantice este asigurată de algoritmii post-cuantici CRYSTALS-Dilithium și CRYSTALS-Kyber, în curs de standardizare NIST.