SignSDK til NemLog-ins signeringsløsning anvender softwarebiblioteket Bouncy Castle, men det er Tillidstjenesternes umiddelbare vurdering, at SignSDK'et ikke anvender de dele af Bouncy Castle, der er ramt af sårbarheder. Vi anbefaler dog, at hver enkelt tjenesteudbyder foretager en egen vurdering, relateret til jeres implementering af Sign SDK, det er jeres ansvar at sikre, at I ikke er eksponeret for sårbarheden.
Der kan ligeledes være en risiko for tjenesteudbydere, der anvender Bouncy Castle udover, hvad der er angivet i SignSDK. Tillidstjenesterne vil derfor opfordre alle anvendere af SignSDK til snarest muligt at vurdere om deres anvendelse Bouncy Castle udgør en risiko og om nødvendigt opdatere til nye version af Bouncy Castle (Java version 1.8.6, .NET version 2.7.0). Bemærk at vores leverandør endnu er i gang med at teste, hvorvidt de seneste versioner af Bouncy Castle kan anvendes i den gældende version SignSDK (java 2.0.10 og .NET 2.1.1).
Tillidstjenesterne arbejder op at få nye versioner (til java og .NET) af SignSDK med seneste version af Bouncy Castle klar til TU'erne inden ugens udgang.