PKI (public key infrastructure)

Wat is PKI?

PKI is de vertrouwenslaag onder veel digitale beveiliging. Het Amerikaanse standaardisatie-instituut NIST omschrijft PKI als een raamwerk om certificaten voor publieke sleutels uit te geven, te onderhouden en in te trekken (bron: NIST, FIPS 186-5).

PKI bouwt op asymmetrische encryptie. Daarbij heeft iedere partij een sleutelpaar: een privésleutel die geheim blijft en een publieke sleutel die iedereen mag zien. Wat met de ene sleutel wordt versleuteld of ondertekend, is met de andere te ontsleutelen of te controleren. Het probleem is vertrouwen: hoe weet je dat een publieke sleutel echt van je bank is en niet van een oplichter?

Daarvoor dient een digitaal certificaat. Logius vergelijkt een PKIoverheidcertificaat met een digitaal paspoort voor computers en hun gebruikers. Een certificaatautoriteit (certificate authority, CA) controleert de identiteit van de aanvrager en ondertekent het certificaat. Wie de CA vertrouwt, kan daardoor ook het certificaat vertrouwen.

De bekendste toepassing is TLS, het slotje in de browser. PKI wordt ook gebruikt voor digitale handtekeningen, versleutelde e-mail, inloggen met een smartcard en beveiligde koppelingen tussen systemen. De privésleutels van een CA staan meestal in een HSM (hardware security module).

Hoe werkt PKI?

Een PKI bestaat uit een keten van vertrouwen. Bovenaan staat een rootcertificaat, dat in browsers en besturingssystemen is ingebouwd. Daaronder geven tussenliggende CA’s de certificaten voor eindgebruikers uit. Een certificaat krijgen en gebruiken gaat in 6 stappen:

1. Maak een sleutelpaar aan; de privésleutel blijft bij de aanvrager.
2. Vraag een certificaat aan bij een CA met de publieke sleutel en de gegevens van de aanvrager.
3. Laat de CA de identiteit controleren, bijvoorbeeld of de aanvrager eigenaar is van een domeinnaam.
4. Ontvang het certificaat, ondertekend met de sleutel van de CA.
5. Laat de ontvanger de handtekening controleren tot aan het vertrouwde rootcertificaat.
6. Trek het certificaat in als de privésleutel is gestolen of de gegevens niet meer kloppen.

Certificaten hebben een beperkte geldigheid. Voor publiek vertrouwde TLS-certificaten besloot het CA/Browser Forum, het overleg van certificaatautoriteiten en browsermakers, in 2025 om de maximale geldigheid stap voor stap te verlagen van 398 dagen naar 47 dagen. De verlaging begint in maart 2026 en eindigt in maart 2029 (bron: CA/Browser Forum, 2025).

Voorbeeld uit de praktijk

PKIoverheid is de PKI van de Nederlandse overheid. Het is een afsprakenstelsel dat wordt beheerd door Logius, met het ministerie van Binnenlandse Zaken en Koninkrijksrelaties als opdrachtgever. Het vertrouwen komt van de Staat der Nederlanden als root. Commerciële dienstverleners, trust service providers (TSP’s), geven onder die root certificaten uit aan eindgebruikers (bron: Logius).

In 2011 liet de inbraak bij DigiNotar zien wat er gebeurt als een certificaatdienstverlener wordt gehackt. Volgens de Rijksoverheid maakten de inbrekers honderden frauduleuze certificaten aan. De overheid zegde het vertrouwen in DigiNotar op, nam het operationele beheer over en liet de certificaten van overheidswebsites vervangen (bron: Rijksoverheid, 2011). Hoe de aanvaller binnenkwam, staat bij DMZ.

Op 2 augustus 2021 maakte Logius bekend dat PKIoverheid na het verlopen van het domein Server CA 2020 op 6 december 2022 geen nieuwe publiek vertrouwde root voor webservercertificaten start. Uit een evaluatie bleek dat Nederland als enige EU-land zelf publiek vertrouwde TLS-certificaten uitgaf en maar met moeite kon voldoen aan de steeds hogere eisen van browsermakers. De overige dienstverlening van PKIoverheid loopt door (bron: Logius, 2021).

PKI in de praktijk van een security-professional

Een security architect bepaalt welke certificaten een organisatie nodig heeft, van welke CA ze komen en waar de privésleutels worden bewaard. Beheerders houden een overzicht bij van alle certificaten en hun einddatum. Een verlopen certificaat kan een website of koppeling in 1 keer onbereikbaar maken, en door de kortere geldigheid wordt automatisch vernieuwen steeds belangrijker.

Een information security officer stelt het beleid op voor sleutelbeheer: wie mag certificaten aanvragen, hoe worden privésleutels beschermd en wat gebeurt er als een sleutel is gelekt. Opleidingen vind je bij informatiebeveiliging.

Veelgestelde vragen

Waar staat PKI voor?

PKI staat voor public key infrastructure, in het Nederlands infrastructuur voor publieke sleutels. Het is het stelsel waarmee digitale certificaten worden uitgegeven, beheerd en ingetrokken. Een certificaat koppelt een publieke sleutel aan een persoon, organisatie of server, zodat anderen kunnen controleren met wie ze communiceren.

Wat is PKIoverheid?

PKIoverheid is de PKI van de Nederlandse overheid: een afsprakenstelsel voor digitale certificaten, beheerd door Logius in opdracht van het ministerie van BZK. De Staat der Nederlanden is de root. Commerciële dienstverleners (TSP’s) geven onder die root certificaten uit, bijvoorbeeld voor de zorg, voor beveiligde koppelingen en voor digitale handtekeningen.

Hoe krijg ik een PKI-certificaat?

Je vraagt een certificaat aan bij een certificaatdienstverlener. Voor een PKIoverheidcertificaat is dat een trust service provider (TSP) die bij PKIoverheid is aangesloten. De TSP controleert je identiteit of die van je organisatie. Afhankelijk van het type ontvang je het certificaat op een smartcard, een USB-stick of digitaal.

Hoe lang is een PKI-certificaat geldig?

Dat hangt af van het type certificaat en de uitgever. Voor publiek vertrouwde TLS-certificaten voor websites geldt een maximum dat het CA/Browser Forum vaststelt. Dat maximum daalt tussen maart 2026 en maart 2029 stap voor stap van 398 naar 47 dagen. Voor andere certificaten staat de geldigheid in de voorwaarden van de uitgever.