We zijn eindelijk in een stadium beland waarin mensen zich meer bewust zijn van gegevensbeveiliging en privacy. Bovendien heeft de aanhoudende pandemie het personeel dat op afstand werkt vergroot, wat de uitvoering van cyberbeveiliging zelfs cruciaal heeft gemaakt.
Maar is het internet nog wel veilig genoeg? Hier komt de certificeringsinsantie (Certificate Authority - CA) om de hoek kijken. U moet weten dat wanneer u een website bezoekt die met HTTPS begint, een CA wordt gebruikt. In feite zou het surfen op het web heel anders zijn dan u gewend bent zonder het bestaan van CA's. Belasting betalen, online winkelen, internetbankieren - dit was allemaal niet mogelijk geweest.
Lees verder terwijl we bespreken wat een certificeringsinstantie eigenlijk inhoudt en hoe deze organisaties werken om ons tegen hackers te beschermen wanneer we op het internet zijn.
Wat is een certificeringsinstantie?
Volgens schattingen die in november 2019 zijn vrijgegeven door het Amerikaanse Bureau of Economic Analysis (BEA) is het persoonlijk inkomen van de huishoudens met 0,5% gestegen. Dit heeft hen op hun beurt weer meer open gemaakt om te profiteren van online gemak in de vorm van bankieren, winkelen, enzovoort. Het vertaalt zich ook in meer bezoeken aan de website of webpagina's van een bank waar ze u vragen om uw bankgegevens in te voeren.
Nu zijn we ons er al van bewust dat de dingen niet altijd zijn wat ze lijken op het internet. U denkt misschien dat u de website van een specifiek bedrijf bezoekt waarvan zelfs het domein hetzelfde beweert - maar hoe verifieert u dat u daadwerkelijk met een server bent verbonden die door hetzelfde bedrijf wordt beheerd? Wat als het is gebouwd door een hacker die uw privégegevens wil stelen?
Dit is het probleem dat wordt opgelost door een CA. Ze laten u weten dat u met de echte website bent verbonden door websites of organisaties te verifiëren, zodat u minder geneigd bent om uw bankrekeninggegevens per ongeluk naar een hacker te sturen.
Om technischer te worden: een certificeringsinstantie is een vertrouwde organisatie die zorgt voor de verificatie van dergelijke websites en andere entiteiten. Het helpt bezoekers te weten met wie ze online communiceren, zodat het internet een stuk veiliger wordt voor zowel organisaties als gebruikers. Kortom, een CA speelt een cruciale rol in digitale veiligheid - en digitaal vertrouwen.
Iedereen kan controleren of een domein is geverifieerd door op het hangslot in de browserbalk te klikken. Probeer het maar eens. U kunt eenvoudig de details van het SSL/TLS-certificaat van een bepaalde site bekijken, wetende dat daarachter cryptografische systemen aan het werk zijn.
Het toenemende bewustzijn over CA's heeft ook geleid tot een vergelijkbare toename van misvattingen. Daarom is het voor gebruikers noodzakelijk om toegang te krijgen tot correcte informatie en niet ten prooi vallen aan slechte acteurs online.
Wat doet een CA om bezoekers te beschermen tegen hackers?
In wezen verifiëren CA's websites om te bepalen of ze betrouwbaar zijn of niet. Er zijn natuurlijk bepaalde kwetsbaarheden waarmee rekening moet worden gehouden, maar deze autoriteiten zijn zeker een goede indicator voor vertrouwen.
Een CA is verantwoordelijk voor het uitvoeren van drie hoofdtaken, waaronder:
1. Bevestigt de identiteit van de eigenaar van het certificaat
De identiteit van de informatie is doorgaans ingebed in een certificaat. Wat een CA doet, is de geldigheid ervan garanderen.
2. Uitgifte van certificaten
Het is nodig dat elke computerbron en elke gebruiker een identiteit heeft, naast een manier om de geldigheid ervan te bewijzen. De meest voorkomende computerbronnen zijn een SSH-server of een website. Een CA geeft certificaten uit als een manier om identiteiten te valideren.
U kunt een certificaat beschouwen als een elektronische versie van een "rijbewijs". Met andere woorden, het is een bestand dat informatie bevat over de identiteit van de eigenaar.
3. Leveren van bewijs over de geldigheid van certificaten
Een andere verantwoordelijkheid van een CA is het garanderen van de geldigheid van een certificaat. Een certificaat wordt meestal ongeldig om de volgende redenen:
- Na afloop - net als een rijbewijs
- Nadat het is ingetrokken
- Wanneer ermee is geknoeid
De belangrijkste taak van een CA is om te bewijzen dat een bepaald certificaat geldig is. Ze doen dit door in te staan voor de echtheid van het certificaat, waardoor de site op haar beurt meer vertrouwen krijgt van de bezoekers. Maar dit zou niemand moeten verbazen, want vandaag gebruikt meer dan 63,7% van alle websites HTTPS, de beveiligde versie van het HTTP-protocol.
Er zijn in feite niet alleen certificaten voor websites, maar ze zijn ook bedoeld om een beter veiligheidsniveau voor IoT-apparaten en de cloud te garanderen.
Hoe werkt een certificeringsinstantie?
Laten we het, nu de verantwoordelijkheden besproken zijn, eens hebben over hoe een CA precies werkt.
Het begint met een aanvrager die een privésleutel en een openbaar sleutel aan elkaar koppelt. De aanvrager dient vervolgens een verzoek, genaamd een Certificate Signing Request (CSR), in bij een vertrouwde certificeringsinstantie. De CSR bevat alle relevante informatie over het verzoek dat - indien goedgekeurd - op het resulterende certificaat zal worden weergegeven.
Na ontvangst van het verzoek verifieert de certificeringsinstantie de authenticiteit van de informatie op de CSR. Wanneer het verzoek geloofwaardig wordt bevonden, geeft de certificeringsinstantie een certificaat uit en wijst zij een certificaat toe met behulp van haar privésleutel, dat vervolgens wordt doorgegeven aan de aanvrager om te gebruiken.
Sommige CA's kunnen de aanvrager ook een aantal uitdagingen bezorgen. Dit wordt voornamelijk gedaan om er zeker van te zijn dat het aangevraagde domein ook daadwerkelijk door de aanvrager wordt beheerd. Soms moet de aanvrager met zijn privésleutel ondertekenen om de controle over het sleutelpaar te bewijzen. Zodra deze uitdagingen en ondertekening zijn voltooid, is de aanvrager bevoegd om certificaten voor zijn site aan te vragen, te vernieuwen en in te trekken.
Uiteindelijk kan de aanvrager het ondertekende certificaat gebruiken voor de juiste controle - HTTPS voor internettoegang en SSH voor externe servertoegang.
Zodra ze het goedkeuringsstempel hebben gekregen, kunnen bezoekers, zelfs als websites de infrastructuur wijzigen of configureren, gerust zijn, wetende dat de feitelijke eigenaar de wijzigingen heeft aangebracht, en geen hacker die misbruik wil maken van nietsvermoedende personen.
Digitale identiteiten beschermen, één certificaat tegelijk
Het internet is ironisch. Hoewel het u toegang geeft tot alle informatie die u nodig zou kunnen hebben en het een ongeëvenaard niveau van gemak biedt, is het een relatief onveilige plek als het om gegevens en privacy gaat.
U zult verschillende dreigingen tegenkomen in de vorm van datalekken, identiteitsdiefstal, cyberaanvallen en meer. Dit heeft - tegen de achtergrond van de pandemie van het coronavirus - de zaken alleen maar erger gemaakt, en daarom zou het verbeteren van de cyberdefensies de prioriteit moeten hebben voor iedereen.
Het bestaan van vertrouwde derde partijen, zoals CA's, helpt om het internet voor iedereen veiliger te maken - zowel voor gebruikers als organisaties. Elke website zou beslist een SSL/TLS-certificaat moeten hebben in een poging om de cybercriminaliteit, samen met de kosten die ermee gepaard gaan, tot een minimum te beperken.
Opmerking: Dit blogartikel werd geschreven door een externe medewerker om onze lezers een gevarieerder aanbod te geven. De standpunten uiteengezet in dit artikel van een externe medewerker zijn enkel die van de medewerker en komen niet noodzakelijk overeen met die van GlobalSign.
