Hoe automatiseert u PKI op de juiste manier?

Introductie

Handmatig certificaatbeheer is niet schaalbaar, en de gefaseerde verlaging van de geldigheidsduur van openbare TLS-certificaten naar 47 dagen in maart 2029 door het CA/Browser Forum maakt deze beperking onmogelijk te negeren. Elk certificaat dat een organisatie uitgeeft, van serverauthenticatie tot interne machine-identiteiten, moet correct worden gevonden, aangevraagd, vernieuwd en ingetrokken. Het handmatig uitvoeren van deze processen voor honderden of duizenden eindpunten is precies waar certificaatstoringen beginnen. Dit artikel legt uit wat automatisering van Public Key Infrastructure (PKI) inhoudt, welke implementatiemethoden beschikbaar zijn en hoe u de juiste methode voor uw omgeving kiest.

Kort antwoord: Wat is PKI-automatisering?

PKI-automatisering vervangt handmatige certificaataanvragen, goedkeuringen en verlengingen door softwaregestuurde inschrijvingsprotocollen en orchestratietools, zoals REST API-integratie, SCEP, EST, ACME en automatische inschrijving via Active Directory. Hierdoor worden certificaten uitgegeven, verlengd en ingetrokken zonder dat iemand de vervaldatums in een spreadsheet hoeft bij te houden.

Wat is Public Key Infrastructure (PKI)?

Public Key Infrastructure (PKI) is het raamwerk van certificaten, cryptografische sleutelparen en beleidsregels dat de communicatie tussen client en server authenticeert en beschermt tegen manipulatie. PKI geeft X.509-certificaten uit die gekoppeld zijn aan een publieke sleutel, zodat een server en een client elkaars identiteit kunnen verifiëren en kunnen bevestigen dat de uitgewisselde gegevens tijdens de overdracht niet zijn gewijzigd. Omdat deze vertrouwensrelatie de basis vormt voor de meeste veilige verbindingen op internet, wordt PKI gebruikt in de gezondheidszorg, financiële dienstverlening, overheid en elke andere sector die de integriteit van een digitale transactie moet kunnen aantonen.

Wat zijn de kerncomponenten van een PKI?

Een PKI is opgebouwd uit drie kerncomponenten: digitale certificaten , de certificeringsinstantie en de registratie-instantie. Samen beschermen en authenticeren deze componenten digitale communicatie en elektronische transacties.

• Digitale certificaten:

  Het meest cruciale onderdeel van een PKI. Een digitaal certificaat valideert en identificeert de verbinding tussen een server en een client, zodat de tot stand gebrachte verbinding betrouwbaar is. Certificaten kunnen intern worden uitgegeven voor kleinere implementaties, of worden aangeschaft bij een vertrouwde externe certificeringsinstantie voor grotere, publiek toegankelijke toepassingen.

• Certificeringsinstantie:

  De certificeringsinstantie (CA) authenticeert en waarborgt het vertrouwen in de certificaten die zij uitgeeft. Of de identiteit nu toebehoort aan een individuele computer of een server, de CA staat ervoor garant en apparaten vertrouwen certificaten die afkomstig zijn van een CA die zij herkennen.

• Registratieautoriteit:

  De registratieautoriteit (RA) is door de certificeringsinstantie (CA) gemachtigd om namens deze certificaataanvragen af ​​te handelen, variërend van een enkel digitaal certificaat voor het ondertekenen van e-mails tot een volledige aanvraag van een bedrijf dat een eigen private certificeringsinstantie opricht. De RA controleert elke aanvraag en stuurt goedgekeurde aanvragen door naar de CA voor uitgifte.

Waarom het beheer van PKI-certificaten automatiseren?

Het handmatig beheren van de levenscyclus van certificaten vereist diepgaande technische expertise en constante aandacht, en één gemiste verlenging kan leiden tot een storing of een complianceprobleem. Volgens de Trust Pulse Survey van DigiCert (juli 2025) ondervond bijna de helft van de bedrijven het afgelopen jaar een storing als gevolg van certificaatproblemen, en 18.5% van de getroffen organisaties meldde verliezen van meer dan $ 250,000, waarvan 37.5% specifiek te wijten was aan verlopen certificaten. PKI-automatisering elimineert de handmatige controle die deze storingen veroorzaakt: het detecteert elk certificaat in de omgeving, vraagt ​​nieuwe certificaten aan en installeert deze volgens schema, en verlengt of trekt ze in zonder dat iemand een spreadsheet met vervaldatums hoeft bij te houden.

Wat zijn de voordelen van PKI-automatisering?

Organisaties stappen over op PKI-automatisering om het beheer van certificaatlevenscycli te verbeteren en gevoelige gegevens beter te beschermen. Drie voordelen springen er in grote lijnen uit.

• Allesomvattende gegevensbeveiliging: Automatisering vermindert de menselijke fouten die de meeste incidenten met certificaten veroorzaken aanzienlijk. Door verlenging en vervanging volgens schema af te handelen, draait de computer nooit op een verouderd of verlopen certificaat. Dit sluit een veelvoorkomende route naar non-compliance en datalekken af.
• Operationele efficiëntie: Het automatiseren van de uitgifte en verlenging van certificaten ontlast PKI-teams van repetitief handmatig werk, vermindert de tijd die wordt besteed aan routinematige certificaatactiviteiten en verlaagt de operationele kosten van het runnen van een certificeringsinstantie op grote schaal.
• Bedrijfscontinuïteit: Slecht certificaatbeheer, en niet gecompromitteerde sleutels, is de belangrijkste oorzaak van storingen die verband houden met certificaten. Geautomatiseerde detectie van eindapparaten, de implementatie van nieuwe certificaten en de tijdige verlenging van bijna verlopen certificaten voorkomen deze storing en zorgen ervoor dat afhankelijke systemen online blijven.

Hoe PKI te automatiseren: implementatiemethoden

Er zijn verschillende manieren om PKI te automatiseren, en de juiste methode hangt af van de infrastructuur van uw organisatie en of uw certificeringsinstantie een API voor integratie beschikbaar stelt. Hieronder vindt u vijf implementatiemogelijkheden die het overwegen waard zijn.

• REST API-integratie
• Eenvoudig certificaatinschrijvingsprotocol (SCEP)
• Inschrijving via beveiligd transport (EST)
• Geautomatiseerde omgeving voor certificaatbeheer (ACME)
• Active Directory-automatische inschrijving en WSTEP

REST API-integratie

Integratie met een REST API is de meest gebruikelijke manier om PKI te automatiseren, mits zowel uw certificeringsinstantie als uw tools voor endpointbeheer dit ondersteunen. U kunt deze integratie zelf bouwen door scripts te schrijven die de API van de certificeringsinstantie aanroepen om een ​​certificaat aan te vragen en naar het doelapparaat te verzenden, of u kunt gebruikmaken van bestaande tools voor endpointbeheer en -orkestratie die al certificaatautomatisering ondersteunen. Beide benaderingen elimineren de handmatige aanvraag- en installatiestap bij elke certificaattransactie.

SCEP (Simple Certificate Enrollment Protocol)

SCEP is een open protocol voor certificaatbeheer dat de uitgifte van certificaten automatiseert en wordt ondersteund door de meeste belangrijke besturingssystemen, waaronder Android, Windows, Linux en iOS. Het vereist een SCEP-agent op het apparaat, werkt samen met uw tools voor apparaatbeheer binnen de organisatie en stelt het apparaat in staat om zelf een certificaat op te halen zodra de beheersoftware de inschrijvingsconfiguratie naar het apparaat heeft verzonden.

Voor een uitgebreidere uitleg over hoe SCEP werkt en waar het past binnen een breder PKI-netwerk, raadpleegt u onze speciale handleiding hieronder.

Wat is SCEP-service? Hoe werkt het SCEP-protocol?

EST (Inschrijving via beveiligd transport)

EST is een uitbreiding op SCEP die dezelfde kernfunctionaliteit biedt, plus ondersteuning voor Elliptic Curve Cryptography (ECC). Beide protocollen automatiseren de certificaatregistratie, maar beveiligen dit proces op verschillende manieren: SCEP gebruikt een gedeeld geheim en PKCS#7-verpakte CSR's in een PKIEnvelope om berichten te beschermen, terwijl EST TLS zelf gebruikt om de client te authenticeren en zowel het verzoek als het uitgegeven certificaat te transporteren.

ACME (Automatische Certificaatbeheeromgeving)

ACME (RFC 8555) is het protocol dat Let's Encrypt populair heeft gemaakt voor het automatisch aanvragen, valideren en vernieuwen van certificaten zonder menselijke tussenkomst. Het wordt nu ondersteund door de meeste openbare CA's en een groeiend aantal private CA's. Het belang ervan neemt elk jaar toe: naarmate de geldigheidsduur van openbare TLS-certificaten daalt richting de door het CA/Browser Forum vastgestelde ondergrens van 47 dagen in maart 2029, is het handmatig vernieuwen van certificaten om de zes weken niet realistisch. ACME is het protocol dat specifiek is ontwikkeld om met die frequentie te werken.

Active Directory-automatische inschrijving en WSTEP

Windows-pc's en -servers kunnen de certificaatinschrijving automatiseren via Active Directory Certificate Services, waarbij Groepsbeleid wordt gebruikt om automatisch certificaten uit te geven en te vernieuwen voor machines en services die lid zijn van een domein, zoals IIS of Exchange. Apparaten die geen lid zijn van een domein, waaronder mobiele apparaten en BYOD-apparaten die worden beheerd via een MDM-platform, maken doorgaans gebruik van WSTEP, het op WS-Trust gebaseerde inschrijvingsprotocol waarmee tools zoals Intune namens een apparaat certificaten kunnen aanvragen. Beide methoden zijn beperkt tot omgevingen die al zijn gebouwd rond de certificaatinfrastructuur van Microsoft.

Welke methode het meest geschikt is, hangt volledig af van uw certificeringsinstantie, uw endpointmix en de verhouding tussen Windows-only en heterogene systemen in uw netwerk. Adviesbureaus zoals Encryption Consulting kunnen u helpen bij het selecteren en implementeren van de juiste combinatie, met minder overhead en meer efficiëntie dan wanneer u dit afzonderlijk zou moeten uitzoeken.

Onze visie: Hoe encryptieconsultancy PKI-automatisering benadert.

We hebben PKI-as-a-Service ontwikkeld rondom dit beslissingsprobleem in plaats van rondom één enkel protocol. Encryption Consulting kan de PKI-activiteiten volledig uitbesteden door de infrastructuur voor de certificeringsinstantie te bouwen, te beheren en te ondersteunen in on-premises, cloud- of hybride omgevingen, terwijl uw team de controle behoudt over het beleid en de bedrijfsprocessen die hierop van toepassing zijn. We implementeren en ondersteunen uw PKI met behulp van een geteste en gecontroleerde set procedures, en we hebben hiervoor geen beheerdersrechten voor uw Active Directory nodig.

CA-sleutels worden bewaard in FIPS 140-3 Level 3 gevalideerde HSM's , die zich in uw eigen beveiligde datacenter of in dat van ons bevinden. Wat automatisering betreft, ondersteunt CertSecure Manager standaard REST API-, SCEP-, EST-, ACME- en WSTEP-gebaseerde inschrijvingen, zodat u niet gebonden bent aan één implementatiemethode naarmate uw omgeving zich ontwikkelt.

Conclusie

PKI-automatisering is niet langer optioneel zodra de levensduur van certificaten is verkort tot 47 dagen en het aantal machine-identiteiten groter is dan het aantal mensen dat ze beheert. De keuze voor een methode – REST API-integratie, SCEP, EST, ACME of automatische inschrijving via Active Directory – is minder belangrijk dan de keuze voor een methode die aansluit bij uw certificeringsinstantie en uw endpointmix. Vervolgens moet het ontdekkings- en verlengingsproces zo worden opgezet dat geen enkel certificaat ooit afhankelijk is van iemand die de vervaldatum onthoudt. Als uw organisatie beheerde PKI overweegt of het beheer van de certificaatlevenscyclus wil automatiseren, zijn PKI-as-a-Service en CertSecure Manager precies daarvoor ontwikkeld.

Veelgestelde Vragen / FAQ

Wat is PKI-automatisering?

PKI-automatisering vervangt handmatige certificaataanvragen, -goedkeuringen en -verlengingen door protocollen en tools, zoals REST API-integratie, SCEP, EST, ACME en automatische Active Directory-inschrijving, die certificaten uitgeven, verlengen en intrekken zonder dat iemand handmatig de vervaldatums hoeft bij te houden.

Waarom is PKI-automatisering nu belangrijk?

Het voorstel SC-081v3 van het CA/Browser Forum, goedgekeurd op 11 april 2025, verlaagt de maximale geldigheidsduur van openbare TLS-certificaten gefaseerd naar 200 dagen vanaf 15 maart 2026, 100 dagen vanaf 15 maart 2027 en 47 dagen vanaf 15 maart 2029. Het handmatig vernieuwen van certificaten zo vaak is niet realistisch, waardoor automatisering een vereiste is in plaats van een optimalisatie.

Wat is het verschil tussen SCEP en EST?

Beide systemen automatiseren de certificaatregistratie, maar SCEP beveiligt de uitwisseling met een gedeeld geheim en een PKCS#7-verpakte CSR, terwijl EST zelf TLS gebruikt om de client te authenticeren en het verzoek en certificaat te verzenden. EST biedt bovendien ondersteuning voor elliptische curvecryptografie, iets wat SCEP niet biedt.

Vervangt ACME SCEP en EST?

Nee. ACME (RFC 8555) wordt het meest gebruikt voor het automatiseren van de uitgifte en verlenging van certificaten bij openbare en steeds vaker ook particuliere certificeringsinstanties, terwijl SCEP en EST gangbaar blijven voor het registreren van beheerde apparaten en eindpunten. Veel organisaties gebruiken meer dan één protocol, afhankelijk van het certificaattype en het eindpunt dat het aanvraagt.

Kan PKI-automatisering werken in een niet-Windows-omgeving?

Ja. REST API-integratie, SCEP, EST en ACME werken allemaal op Android, Linux, iOS en Windows. Active Directory-auto-enrollment en WSTEP zijn de twee methoden die specifiek gekoppeld zijn aan de certificaatinfrastructuur van Microsoft.

Hoe helpt Encryption Consulting bij PKI-automatisering?

De PKI-as-a-Service van Encryption Consulting kan PKI-activiteiten volledig uitbesteden in on-premises, cloud- of hybride omgevingen, waarbij CA-sleutels worden bewaard in FIPS 140-3 Level 3 gevalideerde HSM's. CertSecure Manager ondersteunt REST API-, SCEP-, EST-, ACME- en WSTEP-gebaseerde registratie, waardoor automatisering niet beperkt is tot één enkel protocol.