RFC0034 Wijziging eisen aan PKIo root certificaten

Samenvatting

Goedkeuring

Principe's

Uitwerking

Op pagina /wiki/spaces/MedMijAfsprakenstelsel120/pages/135105065 aanpassen:

6c. Met inachtneming van verantwoordelijkheid 6a, accepteren ZA Node,PGO NodeenMedMij Stelselnodezowel G2- als G3-certificaten PKIoverheid certficaten van elkaar door:

• alle root-certificaten te vertrouwen zoals gepubliceerd op https://cert.pkioverheid.nl/;
  • waarvan de geldigheidsdatum niet is verlopen en die NIET zijn ingetrokken;
  • met uitzondering van de onderstaande root certificaten (deze zijn NIET toegestaan): 
    • de zogenaamde 'TEST' certificaten
    • Alle roots gemarkeerd met 'Persoon'
• deelnemers moeten alle valide domein en TSP certificaten onder PKIo hiërarchie opnemen in de truststore; zie hiervoor https://cert.pkioverheid.nl/;
  • met uitzondering van (deze roots moeten NIET opgenomen worden):
    • Organisatie Persoon
    • Burger
    • Autonome apparaten
    • Private Personen
  • ook de zogenaamde intermediate-certificaten moeten worden opgenomen in de truststore
• de root-certificatenStaat der Nederlanden Root CA - G2 en Staat der Nederlanden Root CA - G3, zoals gepubliceerd ophttps://cert.pkioverheid.nl, te vertrouwen;
• allePKIoverheid TSP-en domeincertificaten onder de respectievelijke G2- en G3-hiërarchieën te herkennen en te vertrouwen, voor zover zij volgens https://cert.pkioverheid.nl:
  • onder het G3-Domein Organisatie Services vallen en van het type Server zijn, of onder het G2-Domein Organisatie vallen;
  • niet ingetrokken zijn.
• op G2 en G3 toepasselijke veranderingen op https://cert.pkioverheid.nl binnen tien werkdagen te verwerken en te hanteren.

Toelichting

PKIoverheid TSP'sgeven certificaten uit onder verschillende root-certificaten van de Staat der Nederlanden: een oude (G2) en een nieuwe (G3). De classificatie van soorten certificaten (domeinen) verschilt tussen G2 en G3. De geldigheid van G2-certificaten zal uiterlijk eindigen op 22 maart 2020. Hoewel er dus geen G2-certificaten meer kunnen worden uitgegeven met een geldigheid van drie jaar, moet het vooralsnog mogelijk zijn oudere G2-certificaten te gebruiken voor MedMij-doeleinden. Waar PKIoverheid-certificaten moet worden geaccepteerd, moeten die dus G2- of G3-certificaten kunnen zijn. Het MedMij Afsprakenstelsel heeft geen redenen extra beperkingen op te leggen ten opzichte van hoe PKIoverheid de transitie van G2 naar G3 maakt.

Verantwoordelijkheid 6c komt overeen met eisen dienaangaande van hetAfsprakenstelsel eHerkenning, met dien verstande dat in het MedMij Afsprakenstelsel EV-certificaten niet te hoeven worden geaccepteerd. In de uitgebreidere validatie van certificaathouders waarvan sprake is bij EV-certificaten, wordt voorzien in het acceptatieproces van deelnemers in het MedMij Afsprakenstelsel.

• "Voor alle frontchannel (internet-facing) verkeer moeten deelnemers een PKIoverheid-certificaat van het type 'publiek' toepassen, uitgegeven door de volgende keten en/of opvolgende generaties:
  • Stamcertificaat
    • Staat der Nederlanden EV Root CA
  • Intermediair Domein Server CA 2020
    • QuoVadis PKIoverheid Server CA 2020
    • Digidentity PKIoverheid Server CA 2020
    • KPN PKIoverheid Server CA 2020
• Voor alle backchannel verkeer (machine2machine) moeten deelnemers een PKIoverheid-certificaat van het type 'privaat' toepassen, uitgegeven door de volgende keten en/of opvolgende generaties:
  • Private Root CA (per medio 2020 de standaard voor m2m)
    • Stamcertificaat
      • Staat der Nederlanden Private Root CA - G1
    • Domein Private Services, maar alleen de volgende:
      • Staat der Nederlanden Private Services CA - G1
      • KPN PKIoverheid Private Services CA - G1
      • QuoVadis PKIoverheid Private Services CA - G1
      • Digidentity BV PKIoverheid Private Services CA - G1

---

Omdat het vastnieten van OCSP antwoorden (stapling) is toegestaan, zal iedere Node welke een certificaat moet controleren het vastnieten in zoverre moeten ondersteunen dat het alleen het feit dat er een vastgeniet OCSP antwoord gebruikt wordt niet mag leiden tot een foutmelding of het anderszins plots beëindigen van de TLS handshake of sessie.

6d. PKIoverheid certificaten moeten (in ieder geval op productie en acceptatie omgevingen) als complete keten inclusief alle intermediate certificaten worden verstuurd en gecontroleerd. Een certificaat keten bestaat uit het certificaat zelf, aangevuld met alle intermediate certificaten die worden meegeleverd door de CSP, de uitgevende instantie van het betreffende certificaat. Het root certificaat moet niet meegeleverd worden (dit is al aanwezig in de truststore van de tegenpartij).

Risico's

Omschrijf de (privacy)risico's die kunnen ontstaan als deze RFC wordt aangenomen. In het onwaarschijnlijke geval dat deze RFC's geen risico's introduceert, geef dat dan wel aan.

Bijlagen