certificatieautoriteit

Een certificatieautoriteit (CA) is een entiteit die digitale certificaten uitgeeft, beheert en intrekt. Certificaten koppelen een publieke sleutel aan een identiteit, waardoor derden de identiteit kunnen verifiëren en beveiligde communicatie kunnen opzetten volgens PKI (Public Key Infrastructure). Een PKI omvat naast CAs ook registratieautoriteiten (RA), certificaatrepositories en mechanismen voor verversing en intrekking zoals CRL en OCSP.

Er bestaan root CAs en tussenliggende CAs. De root CA is doorgaans self-signed en fungeert als vertrouwensanker in beveiligde opslag. Tussenliggende CAs beperken het risico bij compromis en maken veilige sleutelrotatie mogelijk. Certificaten zijn meestal X.509 en kunnen uitgegeven worden voor verschillende doeleinden, zoals TLS-servers, code signing, e-mail of document signing.

Het vertrouwen in een certificaat berust op de hele trust chain. Clients (browsers, besturingssystemen, applicaties) bevatten een set root CAs; een eindcertificaat is ondertekend door een tussenliggende CA en uiteindelijk door een root CA. Intrekking of vervanging gebeurt via CRL of OCSP.

Certificatieautoriteiten volgen normen en regelgeving. Voor publieke CAs gelden Baseline Requirements van de CA/Browser Forum en X.509/PKIX-standaarden; in de EU spelen eIDAS en QTSP-vereisten een rol voor elektronische handtekeningen. Organisaties kunnen ook een particuliere PKI met een eigen CA inzetten.

Beveiliging van de private sleutel is cruciaal, vaak met hardwarebeveiligingsmodules (HSM's), strikte governance en regelmatige audits. Een CA is afhankelijk van de integriteit van de gehele keten.