Logius vervangt certificaten PKIoverheid

Volgens staatssecretaris Kops van Binnenlandse Zaken en Koninkrijksrelaties gaat het om maximaal 14 tussenliggende certificaten en maximaal 22.000 daaronder vallende servercertificaten. Dit schrijft hij in een brief aan de Tweede Kamer.

PKIoverheid-certificaten

De PKIoverheid-certificaten worden gebruikt om de veiligheid en betrouwbaarheid van digitale dienstverlening door overheidsdiensten te waarborgen. Zo kunnen burgers aan de hand van zo’n certificaat bijvoorbeeld zien of ze inderdaad een website van de overheid bezoeken, of er een versleutelde verbinding is. Het bekende slotje in de adresbalk van de browser geeft deze status aan.

Deze certificaten worden op drie niveaus uitgegeven binnen het zogenaamde stelsel “Public Key Infrastructure” (PKIoverheid): een stamcertificaat, tussenliggende certificaten en eindgebruikerscertificaten. Eindgebruikerscertificaten zijn onderverdeeld in servercertificaten en persoonsgebonden certificaten.

Fout in certificaten

Logius geeft namens de Nederlandse Staat de stamcertificaten uit, en als toezichthouder de tussenliggende certificaten. Zowel het stamcertificaat als de tussenliggende certificaten zijn bij Logius in beheer. Eindgebruikerscertificaten worden geleverd door publieke en private certificaatverstrekkers. Bij het genereren van certificaten met de uitgiftesoftware EJBCA is echter een fout gemaakt in de instellingen rondom serienummers. Hierdoor zijn certificaten ten onrechte uitgegeven met een 63-bit serienummer. Dit moet 64-bit zijn.

Volgens de staatssecretaris is er geen direct probleem in de beveiliging van de digitale dienstverlening, maar moeten de Nederlandse certificaten wel worden vervangen. Volgens Knops gaat deze vervanging in totaal 14 maanden duren.

14 maanden

“Logius streeft ernaar binnen 14 maanden de certificaten te laten vervangen. Deze tijd is nodig vanwege het grote aantal nieuw uit te geven certificaten en de zorgvuldige procedure die voor de uitgifte van certificaten geldt. De certificaatverstrekkers informeren de organisaties waarvan de certificaten daadwerkelijk vervangen moeten worden.” 

Voor het vervangingsplan en de termijn wordt ook in internationaal verband draagvlak gezocht, aldus de staatssecretaris. "Het kunnen uitvoeren van het beoogde vervangingsplan is namelijk afhankelijk van acceptatie door de internationale gemeenschap."