EST (Enrollment over Secure Transport) is een IETF-standaard, gedefinieerd in RFC 7030, die de certificaatregistratie via TLS met wederzijdse authenticatie automatiseert. Het is ontworpen als een veiligere opvolger van SCEP voor het uitgeven van certificaten aan apparaten en clients.
EST automatiseert de certificaatregistratie via HTTPS met wederzijdse TLS-authenticatie, in tegenstelling tot het gedeelde-geheimmodel van SCEP. EST, gedefinieerd in RFC 7030 , ondersteunt sterkere clientauthenticatie, certificaatvernieuwing zonder volledige herregistratie en moderne cryptografische algoritmen, waardoor het beter geschikt is voor beveiligingsbewuste bedrijfs- en IoT-implementaties.
Key Takeaways
- EST is gedefinieerd in IETF RFC 7030 en is specifiek ontworpen om de authenticatie- en transportbeveiligingslacunes in SCEP te dichten.
- De EST-registratie verloopt via HTTPS, waarbij gebruik wordt gemaakt van TLS-clientcertificaatverificatie (of een andere sterke authenticatiemethode) in plaats van een gedeeld eenmalig wachtwoord.
- EST ondersteunt een aparte verlengingsprocedure (simplereenroll) die losstaat van de initiële inschrijving, in tegenstelling tot SCEP, waarbij doorgaans het volledige inschrijvingsproces wordt herhaald.
- EST is van nature algoritme-onafhankelijk, waardoor het een betere keuze is dan SCEP voor organisaties die een overstap plannen naar post-quantum certificaatalgoritmen.
- Ondanks het sterkere beveiligingsmodel blijft de adoptie van EST aanzienlijk achter bij die van SCEP, omdat SCEP al decennia lang kan rekenen op leveranciers- en platformondersteuning die EST nog niet heeft bereikt.
Hoe verschilt de inschrijving voor EST van die voor SCEP?
| Aspect | SCEP | EST |
|---|---|---|
| authenticatie | Gedeeld geheim (eenmalig wachtwoord) | TLS-clientcertificaat of andere sterke authenticatiegegevens |
| Transport | HTTP, eventueel via TLS | HTTPS met verplichte TLS |
| Vernieuwing | Doorgaans vindt de volledige inschrijving opnieuw plaats. | Speciaal ontworpen simplereenroll-procedure |
| Standaard | Informatief IETF-ontwerp, breed geïmplementeerd | RFC 7030, een volledige IETF-standaard |
| Leveranciers-/platformondersteuning | Breed en al lang bestaand (MDM, NDES, netwerkapparaten) | Groeiend, maar smaller dan het werkgebied van SCEP. |
Wat zijn de kernactiviteiten van EST?
- cacerts: Hiermee wordt de huidige certificaatketen van de CA opgehaald, zodat een client vertrouwen kan opbouwen voordat hij zich registreert.
- simpleenroll: dient een certificaatondertekeningsverzoek in voor de eerste inschrijving, geverifieerd via wederzijdse TLS.
- simplereenroll: verzoekt om verlenging van het certificaat met behulp van de bestaande gegevens van de klant (binnenkort verlopen) certificaat als authenticatiegegevens.
- serverkeygen: optioneel laat de server de genereren sleutelpaar Namens de klant, handig voor apparaten met beperkte mogelijkheden die zelf niet efficiënt sleutels kunnen genereren.
Waarom heeft EST SCEP nog niet vervangen, ondanks dat het veiliger is?
SCEP geniet al decennialang brede steun: vrijwel elk MDM-platform, elke leverancier van netwerkapparaten en elk CA-softwarepakket implementeert het, en het overschakelen van een bestaande vloot naar een ander inschrijvingsprotocol is een echt migratieproject, geen simpele configuratie-aanpassing. Het sterkere beveiligingsmodel van EST heeft het de voorkeur gegeven voor nieuwe, beveiligingskritische implementaties, met name in IoT- en industriële omgevingen, maar de grote geïnstalleerde basis van SCEP betekent dat het waarschijnlijk nog jarenlang het meest gebruikte protocol zal blijven.
Hoe encryptieconsultancy kan helpen
Hoe Encryption Consulting u helpt: PKI-as-a-Service en CertSecure Manager ondersteunen zowel EST- als SCEP-registratie, waardoor u een beveiligde EST-implementatie voor nieuwe systemen kunt uitvoeren, terwijl bestaande SCEP-gebaseerde systemen ongestoord blijven functioneren. Ondersteund door ISO/IEC 27001:2022 en SOC 2-gecertificeerde werkwijzen.
Veelgestelde Vragen / FAQ
Is EST veiliger dan SCEP?
Ja, in het authenticatiemodel. EST vereist wederzijdse authenticatie op basis van TLS voor inschrijving, terwijl SCEP gebruikmaakt van een gedeeld eenmalig wachtwoord. Dit is een zwakkere vorm van authenticatie en een vaker voorkomend doelwit voor onderschepping of hergebruik als er niet zorgvuldig mee wordt omgegaan.
Biedt EST ondersteuning bij het verlengen van certificaten?
Ja, via een speciale simplereenroll-procedure die het huidige, nog geldige certificaat van de klant als authenticatiegegevens gebruikt, los van de initiële simpleenroll-procedure die voor de eerste registratie wordt gebruikt.
Welke sectoren maken het meest gebruik van EST?
EST komt het meest voor bij IoT- en industriële apparaatimplementaties waar sterke authenticatie per apparaat belangrijk is en het apparatenpark nieuw wordt ontworpen. Bij dergelijke projecten kan EST namelijk vanaf het begin worden toegepast in plaats van een bestaande SCEP-implementatie te migreren.
Kan een organisatie SCEP en EST tegelijkertijd uitvoeren?
Ja. Veel organisaties gebruiken SCEP voor bestaande apparaten en MDM-platformen die alleen SCEP ondersteunen, terwijl ze EST inzetten voor nieuwe implementaties waar sterkere authenticatie vereist is, in plaats van alles in één keer naar één protocol te migreren.
Ondersteun zowel EST als SCEP vanaf één platform.
Zet de volgende stap: PKI-as-a-Service en CertSecure Manager ondersteunen EST- en SCEP-registratie naast elkaar, zodat u nieuwe implementaties kunt moderniseren zonder bestaande systemen te verstoren. Ontdek PKI-as-a-Service om aan de slag te gaan.