Wees voorbereid, de nieuwe generatie PKIoverheidcertificaten komen eraan!

PKI voor de overheid, kortweg PKIoverheid, is een afsprakenstelsel. Het zorgt voor een veilige gegevensuitwisseling en verbinding tussen overheid, burgers en bedrijfsleven en tussen overheden onderling. Het afsprakenstelsel wordt beheerd door Logius en is verantwoordelijk voor de uitgifte en het beheer van kwalitatief hoog betrouwbare digitale certificaten, die een veilige en betrouwbare uitwisseling van gegevens ten doel hebben. Recent is een nieuwe generatie van PKIoverheidcertificaten gelanceerd: de G4. Tevens is er ook een update gekomen van de G3, de G3+.

G4: Wat is er nieuw?

1. G4 beschikt over 4 Root certificaten in plaats van 2. Ieder voor verschillend gebruik en onderhevig aan eigen (externe) kaders:

   1. S/MIME (publiek vertrouwd);

   2. EU-gekwalificeerde digitale handtekeningen;

   3. Server authenticatie (privaat vertrouwd);

   4. Overig (privaat vertrouwd; vooral bedoeld voor authenticatiedoeleinden),

2. Elk type eindgebruikerscertificaat is nog maar voor één doeleinde te gebruiken (dus bijvoorbeeld niet langer zowel authentiseren als een digitale handtekening);

3. G4 bevat een moderner cryptografisch algoritme voor het ondertekenen van alle certificaten: RSASSA-PKCS1-v1_5 is vervangen door RSASSA-PSS. RSASSA-PSS met SHA-256, MGF-1 met SHA-256, en een salt lengte van 32 bytes.;

4. De naamgeving van zowel de eindgebruikerscertificaten als die van de bovenliggende hiërarchie is aangepast. Hierdoor sluiten ze beter aan bij internationale normen en kaders en is het makkelijker te zien waarvoor een certificaat kan worden gebruikt, wat de doelgroep is, het validatietype en het vertrouwensanker.

G3+: Tussentijdse aanpassing G3 ten behoeve van S/MIME

Door gewijzigde regelgeving is het sinds september 2024 niet langer mogelijk gebruik te maken van G3 certificaten voor het beveiligen van email (S/MIME). Om deze functionaliteit toch te kunnen blijven aanbieden is een nieuwe tak aangemaakt binnen de G3, namelijk de G3+. Het verschil tussen G3 en G3+:

• G3+ S/MIME certificaten kunnen alleen nog maar worden gebruikt voor het beveiligen van email;
• G3+ S/MIME certificaten mogen niet langer geleverd worden op secure cryptographic devices (smart card, token, etc.).

Nieuw cryptografisch algoritme 

Onder de G3 is het cryptografisch algoritme voor het ondertekenen van alle certificaten RSASSA-PKCS1-v1_5. Voor gebruik binnen de EU is dit algoritme inmiddels bestempeld als Legacy. Voor de G4 is het algoritme RSASSA-PSS(2) gekozen omdat deze door de meeste software en relevante PKI kaders wordt ondersteund. 

Quantum-resistant algoritmen zijn nog niet bruikbaar in een productieomgeving met PKI-certificaten. Logius houdt deze ontwikkelingen nauwgezet in de gaten, en stelt testcertificaten beschikbaar als standaardisatie op dit vlak verder is doorontwikkeld. De G4 architectuur is echter gebouwd om makkelijk dit algoritme te kunnen adopteren wanneer nodig.

Wat betekent dit voor mijn organisatie?

In de G4 kan elk certificaat maar voor één enkel doeleinde worden gebruikt, en zijn de certificaattypen onderverdeeld per root met elk eigen kenmerkende regelgeving. Dit kan gevolgen hebben voor het aantal certificaten dat uw organisatie nodig heeft. In de vertaaltabel “Welk type certificaat heb ik nodig?” op logius.nl/pkioverheid kunt u zien welke G4 certificaten u nodig heeft. Het is daarom van belang om te weten waarvoor u de G3 certificaten momenteel inzet!

De G3+ en de G4 certificaten worden geleidelijk uitgerold bij de diverse Trust Service Providers. Organisaties stappen daarom in toenemende mate over op deze certificaten. Voor november 2028 moeten alle organisaties zijn overgestapt op de G4.

Welk PKIoverheid G4-certificaat heeft u nodig?

Voor de nieuwe G4-certificaten van PKIoverheid gebruiken we een andere indeling dan u gewend ben van de G3/G1-generatie. Met dit overzicht helpen we u om de juiste keuze te maken bij het vervangen van uw huidige certificaten. Ook deze nieuwe certificaten schaft u aan bij één van de aangesloten Trust Service Providers.

De onderstaande tabel ziet u per soort dienstverlening welk certificaat u in de toekomst nodig heeft. Of welke u mogelijk kunt ontvangen van tegenpartijen. Achter elk type staat ook de zogenaamde Certificate Policy Object Identifier (OID) vermeld die het certificaattype uniek aanduidt.

Op pkioverheid.nl vindt u complete en actuele detailinformatie over:

• Root-, intermediate- en TSP-certificaten
• De bijbehorende Certificate Policy (CP)
• Certificate Practice Statement (CPS)
• Certificate Revocation Lists (CRL)
• PKIoverheid Object Identifiers (OID)

Certificaten voor organisaties

Client-authenticatie

Uitsluitend SAML of mTLS te gebruiken bij SBR, Digipoort, DigiD, etc.

Server-authenticatie

Webserver, kan ook gebruikt worden voor SBR, Digipoort, DigiD, etc.

EU-gekwalificeerde digitale handtekening

eIDAS eSeal

Certificaten voor individuen

EU-gekwalificeerde digitale handtekening

Individuen in hoedanigheid van beroepsbeoefenaar (eIdas e-signature)

Individuen (algemeen)