certificaatautoriteiten

Een certificaatautoriteit (CA) is een entiteit in een openbaar sleutelinfrastructuur (PKI) die digitale certificaten uitgeeft. Deze certificaten bevestigen de identiteit van een entiteit en koppelen een publieke sleutel aan die identiteit. Certificaten worden veel gebruikt bij beveiligde communicatie, zoals HTTPS, e-mail en software-ondertekening.

In PKI bestaat doorgaans een hiërarchie met een root-CA en één of meer intermediate CAs. De root-CA heeft het vertrouwen van systemen en wordt zelden direct gebruikt om certificaten uit te geven; in plaats daarvan ondertekenen intermediate CAs certificaten die weer andere certificaten uitgeven. Alle certificaten in de keten worden vertrouwd als de root-CA in de trust store van een besturingssysteem of browser aanwezig is. Root-certificaten en hun ketens vormen het fundament van de “keten van vertrouwen”.

Werking en controles: de CA ondertekent certificaten met haar private key. Ontvangers controleren de handtekening met de publieke sleutel van de CA, verifiëren de geldigheidsduur en de ingediende identiteit. Voor vervaldingen en mogelijke misbruik gebruiken systemen bovendien mechanismen als Certificate Revocation Lists (CRL) en Online Certificate Status Protocol (OCSP). Transparantie-logs (Certificate Transparency) helpen bij detectie van ongeautoriseerde uitgiftes.

Types certificaten: DV (domeinvalidatie), OV (organisatievalidatie) en EV (uitgebreide validatie) illustreren verschillende niveaus van identiteitstoegang. Certificaten worden toegepast voor TLS-verbindingen, e-mailbeveiliging, codeondertekening en andere cryptografische diensten.

Beheer en risico’s: de veiligheid van de PKI hangt af van streng sleutelbeheer, audits en naleving van normen zoals de Baseline Requirements van de CA/Browser Forum. Een compromitterende CA kan vertrouwelijke communicatie onveilig maken, daarom is toezicht en regelmatige evaluatie essentieel.