sleutelgebruik

Sleutelgebruik is een term uit cryptografie en PKI die verwijst naar de beoogde doeleinden waarvoor een cryptografische sleutel mag worden gebruikt. Het doel is om de reikwijdte van de sleutel te beperken en misbruik te voorkomen door restricties op de operaties die met de sleutel zijn toegestaan.

In X.509-certificaten wordt dit vastgelegd in de KeyUsage-extensie. Deze geeft aan welke taken met de publieke sleutel mogen worden uitgevoerd, zoals digitalSignature, nonRepudiation (contentCommitment), keyEncipherment, dataEncipherment, keyAgreement, certSign, cRLSign, encipherOnly en decipherOnly. Daarnaast kan Extended Key Usage (EKU) aanvullende doeleinden specificeren, zoals serverAuth, clientAuth, codeSigning en emailProtection. Relying parties controleren deze uitbreidingen tijdens certificaatvalidatie en nemen beslissingen op basis van de toegestane toepassingen.

Praktisch gebruik: een TLS-servercertificaat bevat doorgaans digitalSignature en keyEncipherment; een code-signingcertificaat gebruikt codeSigning; een clientcertificaat kan clientAuth toestaan. Het juiste sleutelgebruik voorkomt dat een sleutel voor ongepaste doeleinden wordt ingezet en vermindert risico’s bij misbruik of verlies van de sleutel.

Beheer en naleving: sleutelgebruik wordt vastgesteld bij uitgifte door de certificaatautoriteit en kan door afnemers worden gecontroleerd tijdens de beveiligings- en nalevingsprocessen. Goede praktijken omvatten het gebruik van hardwarebeveiligingsmodules, streng sleutelbeheer en regelmatige herziening en vervanging van certificaten om ongewenst gebruik te voorkomen.