PKIsystemen

PKI-systemen, oftewel Public Key Infrastructures, zijn verzamelingen van beleid, processen, hardware en software die het beheer van digitale certificaten en sleutels mogelijk maken. Ze faciliteren authenticatie, integriteit en vertrouwelijkheid in digitale communicatie door middel van asymmetrische cryptografie en digitale handtekeningen. De basis is X.509-certificaten die een publieke sleutel koppelen aan een identificeerbare entiteit, zoals een gebruiker, apparaat of dienst.

Belangrijke onderdelen van PKI-systemen zijn onder meer de Certification Authority (CA) die certificaten uitgeeft, de Registration Authority (RA) die identiteitsverificatie uitvoert, en de certificaatdatabase waarin uitgifte en status van certificaten worden bijgehouden. Daarnaast spelen certificate stores, Certificate Revocation Lists (CRL) of Online Certificate Status Protocol (OCSP) een rol bij het controleren van de geldigheid van certificaten. Beveiligde sleutelopslag, vaak in Hardware Security Modules (HSM’s), is essentieel voor het beschermen van privésleutels. PKI-systemen worden ondersteund door normen en protocollen zoals X.509-certificaten (vastgelegd in onder meer RFC 5280) en aanverwante PKCS-standaarden.

De architectuur van PKI varieert van hiërarchische trustmodellen met wortel- en ondergeschikte CAs tot federatieve of brugachtige configuraties. Naast traditionele hiërarchische PKI bestaan ook andere benaderingen, zoals web-of-trust, die in ondernemingen minder gangbaar zijn voor formeel beheer. De levenscyclus van certificaten omvat sleutelgeneratie, aanvraag, uitgifte, verversing, intrekking en verval, met continue aandacht voor beveiliging, back-ups, monitoring en incidentrespons.

Toepassingen van PKI-systemen zijn onder meer TLS/HTTPS, code signing, S/MIME voor e-mail, digitale handtekeningen in documenten en cliënt-authenticatie voor VPN en andere beveiligde diensten. In organisaties is PKI vaak onderdeel van een gelaagde beveiligingsstrategie met streng beleid, auditing en regelmatige herziening van trusted roots en PKI-beheer.