Wat is een PKI? Uitleg over Public Key Infrastructure

Wie weleens een slotje in de browser ziet, heeft indirect al kennisgemaakt met PKI. Toch blijft het voor veel mensen een technisch mysterie. Dit artikel legt uit wat een PKI precies is, hoe de techniek werkt en waarom het de stille kracht is achter vrijwel elke veilige online verbinding.

Aantal digitale certificaten wereldwijd: miljarden ·
Jaarlijkse groei PKI-markt: circa 15% ·
Eerste PKI-standaard (X.509): 1988 ·
Grootste PKI-uitgever: DigiCert

Een paar kerngegevens om het overzicht compleet te maken:

Wat is PKI en hoe werkt het?

Definitie van Public Key Infrastructure

• PKI staat voor Public Key Infrastructure en is een systeem voor uitgifte en beheer van digitale certificaten (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).
• Het combineert hardware, software, beleid en procedures.
• PKI is de basis van SSL/TLS-technologie (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).

De rol van publieke en private sleutels

• Een asymmetrisch sleutelpaar bestaat uit een private key en een public key (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).
• De private key is alleen bekend bij de eigenaar en wordt gebruikt om berichten te ontsleutelen en handtekeningen te maken (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).
• De public key is voor iedereen beschikbaar en dient om berichten te versleutelen en handtekeningen te verifiëren (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).

Het patroon is elegant: met de publieke sleutel kan iedereen een boodschap voor jou versleutelen, maar alleen jij kunt hem openen met je privésleutel. Dat is de kern van asymmetrische cryptografie.

Werking van digitale certificaten

• Een Certificate Authority (CA) beheert certificaten binnen een PKI (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).
• Een Registration Authority (RA) voert de controle uit voor de uitgifte van certificaten (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).
• CRL en OCSP worden gebruikt om publieke informatie over niet-geldige certificaten beschikbaar te maken (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).

De implicatie: PKI is niet één apparaat of programma, maar een keten van processen die samen digitaal vertrouwen mogelijk maken.

Wat doet PKI precies?

Identiteitsverificatie via certificaten

• PKI verifieert de identiteit van gebruikers en apparaten (PKIsigning (specialist in PKI-dienstverlening)).
• Een digitaal certificaat koppelt een publieke sleutel aan een entiteit (persoon, server, organisatie).

Wat dit betekent: als een browser een geldig certificaat ziet, weet die zeker dat de website echt is – geen oplichter die zich voordoet als je bank.

Encryptie en digitale handtekeningen

• Het versleutelt data tijdens verzending (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).
• PKI maakt digitale handtekeningen mogelijk die integriteit en herkomst garanderen (PKIsigning (specialist in PKI-dienstverlening)).

Certificaatbeheer en intrekking

• Certificaten kunnen worden ingetrokken via CRL of OCSP (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).
• CPS (Certificate Practice Statement) legt de voorwaarden van de PKI vast (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).

De vangrail: als een certificaat wordt misbruikt, kan de CA het direct intrekken – zodat een verloren sleutel niet leidt tot blijvende schade.

Wat is een voorbeeld van een PKI?

HTTPS en SSL/TLS-certificaten

• Websites gebruiken PKI voor HTTPS-beveiliging (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).
• Een SSL/TLS-certificaat is het bekendste voorbeeld van een PKI-certificaat.

E-mailhandtekeningen en S/MIME

• Digitale handtekeningen in e-mail gebruiken PKI (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).
• S/MIME-certificaten zorgen dat ontvangers zeker weten wie de afzender is.

Overheidsdocumenten en eID

• Elektronische identiteitskaarten gebruiken PKI.
• PKIoverheid is een Nederlands afsprakenstelsel dat grootschalig gebruik van de elektronische handtekening mogelijk maakt (PKIoverheid (Nederlands overheidsstelsel voor PKI)) en ook identificatie op afstand en vertrouwelijke communicatie faciliteert.

Het patroon: PKI blijft onzichtbaar tot het misgaat, maar dan is de impact voelbaar voor iedere internetgebruiker.

Waarom heb ik een PKI-certificaat nodig?

Beveiliging van online communicatie

• PKI-certificaten garanderen authenticiteit van afzender (PKIsigning (specialist in PKI-dienstverlening)).
• Ze voorkomen man-in-the-middle-aanvallen.

Voorkomen van identiteitsdiefstal

• Zonder PKI kan iedereen zich voordoen als een ander.
• Een geldig certificaat is de digitale tegenhanger van een paspoort.

Naleving van regelgeving

• Bedrijven hebben PKI nodig voor compliance met AVG, eIDAS en andere standaarden.
• Overheidssystemen zoals DigiD vertrouwen op PKI.

De rekening: organisaties die PKI negeren, riskeren datalekken en reputatieschade. De investering in certificaten en beheer weegt ruim op tegen de kosten van een inbreuk.

Wat is PKI in eenvoudige termen?

PKI uitgelegd voor beginners

• PKI werkt als een digitale ID-kaart.
• Het zorgt dat alleen de juiste persoon data kan lezen.

Vergelijking met een paspoort

• Een certificaat is het paspoort, de CA is de overheidsinstantie die het uitgeeft, en de CRL is de lijst met ingetrokken paspoorten.

Zonder technische termen

• PKI is het vertrouwenssysteem dat ervoor zorgt dat jouw browser niet tegen een nepwebsite praat.

Het komt hierop neer: PKI is de stille politieagent van het internet – onzichtbaar, maar onmisbaar.

Specificaties van PKI-componenten

Vijf componenten, één systeem: onderstaande tabel zet de bouwstenen van een PKI op een rij.

De conclusie: deze componenten werken samen als een digitaal vertrouwensnetwerk dat veilige online communicatie mogelijk maakt.

Stappenplan voor het implementeren van PKI

Zelf een PKI opzetten in vijf stappen

1. Bepaal het beleid – Stel een Certificate Practice Statement (CPS) op die vastlegt wie certificaten krijgt en onder welke voorwaarden (SSLcertificaten.nl (kennisplatform voor digitale certificaten)).
2. Kies een CA-software – Microsoft AD CS, Easy-RSA of commerciële oplossingen zoals DigiCert.
3. Richt de hiërarchie in – Een root-CA en eventueel tussenliggende CA’s voor schaalbaarheid.
4. Implementeer RA en registratie – Zorg dat identiteitscontrole plaatsvindt voordat certificaten worden gegenereerd.
5. Onderhoud en intrekking – Publiceer CRL’s en zet OCSP-responders op zodat clients altijd de geldigheid kunnen checken.

Het addertje onder het gras: een eigen PKI beheren vraagt discipline. Verloopt een root-CA-certificaat, dan valt de hele keten stil.

Bevestigde feiten en wat onduidelijk blijft

Wat dit betekent: de basis is solide, maar de toekomst brengt onzekerheden die verder onderzoek vereisen.

Citaten van experts

PKI is de basis van SSL/TLS-technologie. Zonder PKI geen veilige verbindingen op internet.

SSLcertificaten.nl (kennisplatform voor digitale certificaten)

PKI geeft waarborgen rond identiteit, vertrouwelijkheid, integriteit en authenticiteit van digitale communicatie.

PKIsigning (specialist in PKI-dienstverlening)

Deze citaten onderstrepen het belang van PKI in de praktijk: zonder dit fundament zou het internet er heel anders uitzien.

Voor Nederlandse organisaties die digitale veiligheid serieus nemen, is de keuze duidelijk: investeer in een robuuste PKI, of loop het risico op datalekken en identiteitsfraude. De kosten van een certificaat zijn laag; de prijs van nalatigheid is dat niet.

Wie in Duitsland de uitleg over Public Key Infrastructure leest, krijgt een soortgelijke uitleg over de werking van digitale certificaten en versleuteling.

Veelgestelde vragen

Gerelateerde lectuur

• Wat is een botnet?
• Hoe spamgesprekken blokkeren – iPhone, Android & vaste lijn