Certificaten: Aanmaak en beheer

Transcriptie

1 Certificaten: Aanmaak en beheer 11 juni 2013 Bart Callewaert Wat is een certificaat? Een bewijsstuk: dat de echtheid van een voorwerp garandeert dat de betrouwbaarheid van een partij garandeert Gebaseerd op vertrouwensrelaties We vertrouwen eigenlijk de partij die het certificaat heeft uitgegeven

2 Wat is een digitaal certificaat? Is het digitaal equivalent van een papieren certificaat Kan gebruikt worden om: de authenticiteit van een digitaal document te garanderen (niet-weerlegbare ondertekening) een partij sterk te authentificeren (authenticatieondertekening) een digitaal document te versleutelen Delen van een certificaat (1) Het certificaat Bevat: * Informatie over de eigenaar van het certificaat - Naam/Locatie/Rijksregisternummer/. * Geldigheidsduur van het certificaat * Bijhorende publieke sleutel * Informatie over de uitgever van het certificaat - Handtekening van het certificaat door de CA Beoogde doeleinden betreffende het gebruik van het certificaat: * Documentsigning/Codesigning/ServerAuthentication /ClientAuthentication

3 Delen van een certificaat (2). De private sleutel Wordt aangemaakt door de aanvrager/eigenaar van het certificaat Mag *nooit* gedeeld worden met derden Wordt gebruikt om: * Documenten te ondertekenen * berichten (documenten) ondertekend met de bijhorende publieke sleutel te controleren/decoderen Heeft een sleutelbreedte: Hoe groter, hoe moeilijker te kraken. (Momenteel gangbaar = 2048bit) Delen van een certificaat (3). De publieke sleutel Mag vrij verdeeld worden Wordt gebruikt om: * documenten te versleutelen * documenten ondertekend met de private sleutel te controleren - Er is zekerheid betreffende de afzender. - Het document is ongewijzigd.

4 Geldigheid van een certificaat. Beperkte geldigheidsduur Ondertekenen/versleutelen mag enkel binnen deze periode Controle kan altijd. Tijdstip van handtekening moet afgetoetst worden Intrekking van een certificaat Gebeurt door uitgever: * Meestal op vraag van de eigenaar Na diefstal/verlies private sleutel Bij ongebruik. Controle Via gepubliceerde revocatielijsten (crl) Via online services (ocsp) CA-issued versus Self-signed certificaten CA-issued (Certificate Authority) Grote betrouwbaarheid Kortere levensduur Duurt lang om te leveren Verschillende administratieve procedures Kost veel Vb CA : Verisign, GlobalSign Self-signed Certificaat door zichzelf ondertekend i.p.v. door een CA Enkel vertrouwen binnen eigen gecontroleerd domein Kan langere levensduur hebben indien gewenst Direct beschikbaar Gratis aanmaak

5 Certificaten Registratie- en Beheer tool Waarom certificaten gebruiken? Evolutie naar gedistribueerde architectuur over het internet Noodzaak aan identificatie en authenticatie van afnemers Noodzaak om de gevoelige gegevens tijdens de transfer te versleutelen Bij gebruik centrale Cevi-applicaties Selfsigned voor machine->machine applicaties Eid of selfsigned voor persoon->machine applicaties

6 Waarom de noodzaak aan een tool? Moeilijke materie voor leken Registratie van certificaten bij de communicerende partijen nodig. Verschillende variaties mogelijk: * In Windows-stores of Keystores (Java/Apache/Oracle Weblogic/ ) Toegankelijk maken van private sleutels Er is onderhoud: beperkte levensduur cert s Duidelijke monitoring nodig om vervallen certificaten te detecteren Waar is configuratie nodig? Bij de klant: Op servers: * Client-certificaten of CSR aanmaken * Server-certificaten of CSR aanmaken * Certificaten registreren bij Cevi voor verbindingen naar Cevi Op PC s: * Client-certificaten of CSR aanmaken * Certificaten registreren bij Cevi. - Alle certificaten. Selfsigned als aternatief voor eid In Cevi : * Zie slide

7 Certificaten Registratie en beheertool