...
| Note |
|---|
NEN7510:2017 paragraaf 12.1.4 .1 beschrijft dat productieomgevingen gescheiden moeten zijn van test- en ontwikkelomgeving. Dit geldt niet alleen voor servers en databases, maar ook voor certificaten. Gebruik het certificaat van de productieomgeving daarom niet voor de test- en ontwikkelomgevingen, maar installeer daar een ander certificaat. Plaats de test- en ontwikkelomgevingen niet als SAN op het certificaat van de productieomgeving. |
...
- De webbrowser stuurt een verzoek naar een webserver. Hierbij wordt binnen MedMij verplicht gebruikgemaakt van HTTPS. In dit verzoek vraagt de webbrowser de server om zich te identificeren.
- De server stuurt een kopie van zijn certificaat (en de bijbehorende intermediate certificaten van certifcaatuitgever), inclusief de publieke sleutel (public key) waar de webbrowser gebruik van kan maken.
- De webbrowser controleert het certificaat op betrouwbaarheid en of het niet verlopen of ingetrokken is. Als de identiteit van de server door de webbrowser vertrouwd wordt, maakt de browser een code, dit wordt ook wel de symmetric session key genoemd. Deze code geldt alleen voor de lopende sessie en wordt voor de beveiliging van de communicatie gebruikt. De code wordt door de webbrowser versleuteld. Hiervoor gebruikt de webbrowser de publieke sleutel die de server in stap 2 stuurde. De versleutelde code wordt naar de server gestuurd.
- De server heeft een geheime unieke sleutel (private key), behorende bij de publieke sleutel, waarmee de server kan controleren of de code op de juiste manier versleuteld is. Als dit het geval is, stuurt de server een ontvangstbevestiging naar de webbrowser, waarbij dit bericht wordt versleuteld met de code die de server van de webbrowser ontving.
- Vanaf dit moment is de verbinding tussen webbrowser en server beveiligd en worden alle berichten versleuteld met de code.
...
Deelnemers van MedMij moeten de door hun gebruikte hostnames registreren bij MedMij Beheer. Dit zijn dezelfde hostnames die ook als Common Name of Subject Alternative Name zijn bekend zijn op het gebruikte certificaat. Geregistreerde certificaten worden op de zoegenoemde zogenoemde whitelist (WHL) gezet, die ieder kwartier door de deelnemers opgehaald moet worden. Zo kunnen de deelnemers altijd controleren of een bepaalde hostname door MedMij geaccepteerd is en of het certificaat gebruikt mag worden.
...