Certificaatketen

Certificaatketen is een term uit de digitale beveiliging die verwijst naar de keten van certificaten die vertrouwen in digitale identiteiten mogelijk maken. De keten begint bij een root-certificaatautoriteit (root CA), waarvan het publiekscertificaat in vrijwel elke truststore van besturingssystemen en browsers is opgenomen. Hieronder bevinden zich tussenliggende certificaatautoriteiten (intermediate CAs), die certificaten uitgeven voor eindgebruikers of -objecten. Het eindcertificaat (end-entity certificate) wordt gebruikt om een identiteit te bevestigen of beveiligde communicatie mogelijk te maken, bijvoorbeeld bij TLS-verbindingen of codeondertekening. Elke schakel in de keten is ondertekend door de voorgaande, zodat een trustpad ontstaat van root naar het eindcertificaat.

Validatie en werking: om een certificaat te vertrouwen moet een cliënt een pad opbouwen van een vertrouwde root naar het eindcertificaat en daarbij de handtekeningen, geldigheidsduur en de status controleren. Revocatie is een cruciale factor; via mechanismen als Certificate Revocation Lists (CRLs) of Online Certificate Status Protocol (OCSP) kan worden vastgesteld of een certificaat in de keten ingetrokken is. Als één schakel ongeldig is, kan de hele keten niet als betrouwbaar worden beschouwd.

Beheer en praktisering: in de praktijk worden TLS-certificaten vaak samen met hun keten door de server meegestuurd; clients vertrouwen op hun eigen truststore. Cross-signing kan meerdere geldige ketens mogelijk maken. Regelmatige vervanging en beveiliging van privésleutels in root- en intermediate CAs zijn essentieel om de integriteit van de keten te waarborgen.

Stand van zaken: de certificaatketen is gebaseerd op X.509-certificaten en PKI-methodologie (PKIX). Het begrip geldt voor veilige communicatie, digitale ondertekening en identiteitsbeheer in diverse IT-omgevingen.