certificaatvertrouwensketens

Een certificaatvertrouwensketen (keten van vertrouwen) is de structuur waarmee digitale certificaten worden gevalideerd en vertrouwen wordt gewekt in digitale identiteiten en beveiligde communicatie. In een dergelijke keten wordt een eindgebruikercertificaat uitgegeven door een certificate authority (CA) en op haar beurt uitgegeven door een hogere CA, culminerend in een root-CA die in de trust store van systemen als vertrouwd wordt beschouwd. De root-CA is doorgaans self-signed en vormt de absolute basis van het vertrouwen.

Bij validatie wordt het hele pad van het end-entity certificaat naar een vertrouwde root-CA gecontroleerd, en wordt nagegaan of alle certificaten in de keten geldig zijn, niet verlopen en niet ingetrokken (via CRL of OCSP). Certificaten bevatten beleidsregels en sleutelgebruik- beperkingen, en de geldigheidsduur en status van elke stap in de keten worden vastgesteld voordat vertrouwen wordt toegewezen.

Beheer en standaarden: trust stores bepalen welke root-CA's als vertrouwd worden beschouwd. Ketens kunnen publiek of privé zijn en kunnen door middel van cross-certificatie en beleidsafspraken met elkaar verbonden zijn. Standaarden zoals X.509 en PKIX (RFC 5280) beschrijven het formaat van certificaten en de validatieregels; toepassingen zoals TLS, S/MIME en digitale handtekeningen maken expliciet gebruik van de trustketen.

Toepassingen, risico’s en beheer: ketens worden toegepast bij TLS-verbindingen, digitale handtekeningen en eID-systemen. Belangrijke risico’s zijn compromittering van root- of tussenliggende CA’s, foutieve configuratie van trust stores, verlopen certificaten en vertragingen bij intrekking. Best practices omvatten strikt beheer van root-certificaten, korte geldigheidsduur, actieve revocatie en periodieke controle van ketenintegriteit.