crosscertificatie

Crosscertificatie is een mechanisme binnen PKI (Public Key Infrastructure) dat vertrouwen mogelijk maakt tussen twee onafhankelijke PKI-domeinen door het uitgeven van cross-certificaten tussen hun Certificate Authorities (CA's). Door zo'n cross-certificaat erkennen de betrokken CA's elkaars uitgegeven certificaten als geldig binnen elkaars trust-domein, waardoor digitale identiteiten en handtekeningen uit het ene domein kunnen worden vertrouwd in het andere.

Hoe het werkt, is dat CA A een cross-certificaat uitgeeft aan CA B, waarin staat dat CA A vertrouwen schenkt aan de identiteit die door CA B is uitgegeven. Hierdoor kan een certificaat dat door CA A is uitgegeven in systemen die vertrouwen hebben in CA B worden gevalideerd via de keten van CA's, inclusief statuscontrole (CRL of OCSP) en geldigheidsduur. Voor crosscertificatie is doorgaans afstemming van beleid en certificaatbeleid (CP) en CPS vereist, of een beleidssamenhang via beleidsmapping tussen de PKI’s, zodat beoordelingscriteria voor identiteit en betrouwbaarheid kunnen overeenkomen.

Crosscertificatie vereist actief beheer: vernieuwing, vervanging van cross-certificaten, en coördinatie van vervaldatums en statusinformatie. Het doel is om interoperabiliteit mogelijk te maken zonder één centrale root-CA te hoeven laten fungeren als alle trust.

Toepassingen zijn vooral te vinden in overheids- en bedrijfsomgevingen waar meerdere organisaties of landen vertrouwen willen delen, bijvoorbeeld bij interoperationele eID of digitale handtekeningen. Bekende voorbeelden zijn brug-achtige trustmodellen zoals FBCA-achtige constructies en Europese initiatieven rond eIDAS, waarbij nationale PKI’s elkaar kunnen erkennen via beleidskoppelingen. Voordelen zijn snelle interoperabiliteit en het vermijden van één centrale root, terwijl nadelen bestaan uit complex beheer, beleidsafstemming en risico’s bij revocatie.

---