...
Vervangende certificaten kunnen afgenomen worden bij de leveranciers van PKIoverheid. Daarnaast mogen de vervangende certificaten afgenomen worden bij iedere leverancier die aan de eisen voldoet, zolang ook het certificaat aan de eisen voldoet. MedMij zal geen advies geven betreffende mogelijke leveranciers voor vervangende certificaten.
Vragen en opmerkingen tijdens expertgroepsessie 13 januari 2022
Er wordt verwezen naar een passage in een tekst van NCSC
Expand title https://www.ncsc.nl/documenten/factsheets/2021/september/29/factsheet-pkioverheid-stopt-met-webcertificaten Voor openbare websites en de meeste andere toepassingen van webservercertificaten, voldoet een DV (Domain Validation)-certificaat. Bij DV-certificaten controleert de leverancier de vermelde domeinnaam, maar niet de identiteit van de aanvrager. Vraagt u bijvoorbeeld een DV-certificaat voor ncsc.nl aan, dan controleert de leverancier wel dat u de houder bent van de domeinnaam ncsc.nl, maar hij vraagt u niet de naam van uw organisatie, of verder bewijs dat u namens deze organisatie handelt. Certificaten van het type Organisation Validation (OV), Extended Validation (EV) en Qualified Website Authentication Certificate (QWAC) kennen een oplopend niveau van controle op de identiteit van de aanvrager. Deze certificaten vermelden die identiteit ook, zodat het voor de bezoeker van een website mogelijk is om op te vragen wie de eigenaar van de website is. Vroeger leidde het gebruik van een EV-certificaat ook tot een zogenaamde 'groene balk' in de browser van bezoekers, maar geen van de populaire browsers doet dit nog. De meerwaarde van een OV-, EV- of QWAC-certificaat is daarmee beperkt voor toepassingen waar een lager niveau, zoals DV, ook geaccepteerd wordt. In sommige sectoren is het gebruik van een certificaat met een zeker controleniveau voor bepaalde toepassingen verplicht. Deze verplichting volgt dan uit sectorale wet- en regelgeving. Het NCSC is op de hoogte van één geval waarin dit speelt. Bedrijven in de financiële sector zijn op basis van de PSD2- 4 Zie https://www.logius.nl/diensten/digikoppeling. 5 Zie https://www.logius.nl/diensten/oin. wetgeving verplicht om voor bepaalde machine-to-machine-koppelingen een QWACcertificaat te gebruiken.
Als NCSC aangeeft dat in de meeste gevallen DV goed genoeg is, waarom dan de eis om OV te verplichten? Dit is volgens de wet- en regelgeving alleen verplicht bij PSD2 in de financiële sector.
- Waarom wordt de verplichting gelegd op het niveau van certificaatuitgifte, terwijl de check ook tijdens audits uitgevoerd kan worden?
- Certificaten kunnen periodiek worden gecontroleerd, bijvoorbeeld of er geen wildcards worden gebruikt.
- Met een proxy aan de voorkant ziet niemand met welke server/service gecommuniceerd wordt.
- De hele wereld gebruikt DV-certificaten, dat wordt door niemand gecontroleerd. De eindgebruiker ziet over het algemeen niet welk type certificaat gebruikt wordt.
- De gebruiker ziet het niet meer, dus gebruik van wildcard DV is mogelijk.
- Het is een hoop extra werk en kosten voor een schijnveiligheid. Omdat er niet veel banken zijn, kan het daar worden toegepast. Wij hebben meer dan 40 partijen.
- Schijnzekerheid, zekerheid voor niets. Controle van KVK en sturen naar één endpoint gebeurt ook bij kwalificatie en acceptatie. De deelnemersovereenkomst is zekerder/toereikender voor de controle van de organisatie.
Mogelijke opties voor de toekomst
- Verplichting voor minimaal OV certificaten
- inclusief wildcards
- exclusief wildcards
- Mogelijk gebruik van DV certificaten
- inclusief wildcards
- exclusief wildcards
Beleidslijnen vanuit VWS
| OV certificaten | OV wildcards certificaten | DV certificaten | DV wildcards certificaten | ||||||
|---|---|---|---|---|---|---|---|---|---|
| 1a | De meest up-to-date WebTrust audit is succesvol doorlopen en de certificering is geldig voor de ‘Certificatie Authority’ op iedere schakel in de keten van ondertekeningen tot en met de uitgifte processen. | Op het moment van certificaat-uitgifte moet een leverancier aan deze eis voldoen. | |||||||
| 1b | De private certificaten moeten afkomstig zijn van PKI Overheid geaccrediteerde certificaat ketens. | Op het moment van certificaat-uitgifte moet een leverancier aan deze eis voldoen | .Op basis van regel 3a kunnen er geen DV certificaten worden gebruikt. | ||||||
| 2a | De ‘private key’ moet worden gegenereerd op het doelplatform waar het PKI certificaat wordt toegepast. | ||||||||
| 2b | Bij gebruik van publieke PKI certificaten is de toepassing van ‘Certification Authority Authorization Resource Record’ vereist. | ||||||||
| 2c | Het toepassen van DNSSEC op de gebruikte domeinen is vereist onder de voorwaarden van pas-toe-of-leg-uit. Strengere eisen kunnen worden gesteld vanuit aanvullende kaders, zoals aansluitvoorwaarden. | ||||||||
| 2d | Het gebruik van wildcard certificaten wordt niet toegestaan. | Niet mogelijk | Niet mogelijk | ||||||
| 2e | Het gebruik van ‘multi-domain’-certificaten is toegestaan, onder de voorwaarde dat de eigenaar van het certificaat gelijk is aan de eigenaar van alle domeinen die opgenomen zijn in de Subject Alt Name DNS waarden van het certificaat. | ||||||||
| 3a | Het zekerheidsuitgifte niveau moet minimaal op het OV-niveau (Organisation Validated) of met hogere zekerheid zijn uitgegeven voor publieke PKI webserver certificaten wanneer persoonsgegevens van bijzondere aard worden verwerkt. Dit is relevant voor de aanschaf van het certificaat en dit valt achteraf te controleren op het bestaan van Policy Object Identifiers (OIDs) die markeren welk type certificaat het betreft. | Minimaal niveau | Niet mogelijk | Niet mogelijk | |||||
| 3b | De uitgever van de PKI certificaten is verantwoordingsplichtig aan de AVG en/of GDPR. | De leverancier van certificaten moet in een EU-land gevestigd zijn. | |||||||
| 4a | Veilig beheer moet zijn toegepast zoals toegelicht in ‘Factsheet Veilig beheer van digitale certificaten’. | ||||||||
| 4b | Trust op zorgsystemen met systeem-systeem koppelingen al proactief de ‘Staat der Nederlanden Private Root CA - G1’ (te downloaden vanaf https://cert.pkioverheid.nl/) voor zover dat nog niet het geval is. | ||||||||
Factsheet NCSC
| OV certificaten | OV wildcards certificaten | DV certificaten | DV wildcards certificaten | ||
|---|---|---|---|---|---|
| 1 | Mate van controle bij uitgifte | De leverancier controleert het eigendom van de vermelde domeinnaam en de identiteit van de aanvrager. | De leverancier controleert het eigendom van de vermelde domeinnaam, maar niet de identiteit van de aanvrager. | ||
| 2 | Wijze waarop domeinnaam vermeld staat | Deze certificaten vermelden die identiteit van de aanvrager, zodat het voor de bezoeker van een website mogelijk is om op te vragen wie de eigenaar van de website is. | |||
| 3 | Stamcertificaat | ||||
| 4 | Te gebruiken voor | Openbare websites en de meeste andere toepassingen van webservercertificaten. | |||
| 5 | Meerwaarde | De meerwaarde van een OV-, EV- of QWAC-certificaat is beperkt voor toepassingen waar een lager niveau, zoals DV, ook geaccepteerd wordt. | |||
| 6 | Vermelding van domeinnamen | De domeinnamen waarvoor een certificaat geldt, staan vermeld in het Subject Alternative Name-veld. Voor verschillende toepassingen kunt u het beste ook verschillende certificaten gebruiken. | |||
| 7 | Gebruik wildcardcertificaten | In sommige toepassingen is van tevoren niet bekend welke subdomeinen er precies zullen worden aangeroepen, of wilt u niet dat deze subdomeinen openbaar worden. In zulke gevallen kunt u een wildcardcertificaat gebruiken. Dat is een certificaat dat voor alle subdomeinen van een domein tegelijk geldt. De vermelding is dan '*.example.nl'. Als u een wildcardcertificaat gebruikt, loopt u een iets groter risico dan bij een certificaat waar alle domeinnamen apart op staan. Een aanvaller die over de geheime sleutel beschikt, kan het immers ook gebruiken om andere toepassingen met een subdomein van die domeinnaam aan te vallen. Sommige certificaatleveranciers ondersteunen geen wildcardcertificaten. Overweegt u om een wildcardcertificaat te gebruiken, voer dan eerst een risicoanalyse uit. | |||
| 8 | Uitstraling | De meeste van uw bezoekers zullen weliswaar niet controleren wie uw webservercertificaat heeft uitgegeven, maar desondanks kan het voor u belangrijk zijn dat u hiervoor niet met zomaar een partij in zee gaat. | |||
| 9 | Leverancier | Voor het feitelijke veiligheidsniveau maakt het weinig uit, maar het kan voor uw bezoekers desondanks een geruststelling zijn als u een certificaat gebruikt dat bijvoorbeeld door een Nederlandse of Europese partij geleverd is. | |||
| 9 | Automatisering | Steeds meer certificaatleveranciers automatiseren het proces van domeinvalidatie en certificaatuitgifte, in het bijzonder bij de uitgifte van DV-certificaten. De bekendste standaard hiervoor is ACME, die is ontwikkeld en gepopulariseerd door certificaatleverancier Let's Encrypt. Het aantal leveranciers dat ACME ondersteunt is nog beperkt, maar het valt te verwachten dat dit de komende jaren zal groeien. | |||