PKIoverheid behoudt combinatiecertificaten serverAuth en clientAuth

Wijzigingen in het beleid van grote technologieaanbieders hebben geleid tot vragen over de inzetbaarheid van digitale certificaten. Dit geldt niet voor de PKIoverheid-certificaten. Deze blijven volledig functioneel voor zowel het verzenden als ontvangen van gegevens. U hoeft hiervoor geen gescheiden certificaten aan te schaffen.

Wijzigingen in publieke certificaten

Voor een beveiligde digitale data-uitwisseling (mTLS) moeten systemen zich over en weer veilig identificeren. In de markt is echter besloten dat nieuwe, publiek vertrouwde certificaten (zoals die van Google of andere commerciële partijen) uitsluitend nog gebruikt mogen worden voor het beveiligen van websites (serverAuth). De functionaliteit om gegevens veilig te verzenden (clientAuth) wordt uit deze publieke certificaten verwijderd. Verbindingen die een publiek certificaat gebruiken voor het verzenden van data, werken hierdoor niet meer.

PKIoverheid blijft de stabiele standaard

Voor gebruikers van PKIoverheid-certificaten is er geen reden tot zorg. PKIoverheid geeft in tegenstelling tot de publieke markt nog wel combinatiecertificaten uit. Dit betekent dat u met één certificaat de volledige beveiliging, zowel aan de verzendende als de ontvangende kant, kunt blijven faciliteren. Deze functionaliteit is eveneens gewaarborgd binnen de nieuwe technische standaard, de G4-certificaathiërarchie.

Aandachtspunten voor uw informatievoorziening

Om een correcte en veilige werking van uw systemen te garanderen, adviseren wij u de volgende uitgangspunten te hanteren richting uw ICT-leverancier of -afdeling:

• Strikte scheiding tussen website en data-uitwisseling: Een PKIoverheid-certificaat is niet publiek vertrouwd en daardoor ongeschikt voor openbare websites. Zorg ervoor dat u voor uw publieke website een openbaar certificaat inzet, en het PKIoverheid-certificaat exclusief gebruikt voor de besloten, veilige data-uitwisseling.
• Maatwerk bij clouddiensten: Maakt uw organisatie gebruik van cloudomgevingen zoals Microsoft of Google? Houd er dan rekening mee dat deze platforms standaardcertificaten van de PKIoverheid niet automatisch herkennen. Hiervoor is specifiek technisch maatwerk vereist.