Asymetrická kryptografia (verejný kľúč / súkromný kľúč)

Asymetrická kryptografia sa opiera o pár matematicky súvisiacich kľúčov: súkromný kľúč (tajný, uchovávaný v HSM alebo QSCD) a verejný kľúč (voľne distribuovaný v certifikáte). Na podpísanie dokumentu podpisovateľ vypočíta odtlačok dokumentu a zašifruje ho svojím súkromným kľúčom; ktokoľvek môže podpis overiť dešifrovaním tohto odtlačku pomocou verejného kľúča a porovnaním s hash-om pôvodného dokumentu. Dominantnými algoritmami sú RSA (kľúče 2048–4096 bitov) a ECC (krivky P-256, P-384). RSA 2048 bitov odporúča NIST až do roku 2030; ECC P-256 poskytuje ekvivalentnú úroveň bezpečnosti s kľúčmi 10× kratšími (zisk výkonu HSM). Odolnosť voči kvantovým počítačom je zabezpečená post-kvantovými algoritmami CRYSTALS-Dilithium a CRYSTALS-Kyber, ktoré sú v procese štandardizácie NIST.