Wat is het CA/B Forum?

Laat me het voor je uitleggen in Simpel gezegd, met een voorbeeld. In 2017 werd vastgesteld dat Symantec TLS-certificaten uitgaf zonder de juiste validatie, wat beveiligingsrisico's met zich meebracht. Volgens de richtlijnen van het CA/B Forum hebben browsers zoals Google en Mozilla de certificaten van Symantec ingetrokken. Dit voorkwam dat aanvallers misbruik konden maken van de onjuist uitgegeven certificaten en beschermde gebruikersgegevens. 

Mogelijk bent u op een website geweest waar de browser u de waarschuwing gaf: "Deze website is niet beveiligd."  

Het CA/B Forum helpt het internet veiliger te maken door standaarden vast te stellen voor SSL- en TLS-certificaten. Deze standaarden zorgen ervoor dat websites met een hangslotpictogram geverifieerd en versleuteld zijn, waardoor het voor aanvallers moeilijker wordt om gebruikersgegevens te stelen of te wijzigen. Het zijn echter browsers die waarschuwingen zoals "Deze website is niet beveiligd" afdwingen. Deze waarschuwingen verschijnen wanneer het certificaat van een website verlopen, ongeldig of vermist is. Terwijl het CA/B Forum de regels vaststelt, detecteren en waarschuwen de browsers gebruikers op basis van de status van het certificaat.

Belangrijkste normen en richtlijnen vastgesteld door het CA/B Forum

De implementatie van de richtlijnen en standaarden is iets waar we binnen de beveiliging niet aan mogen tornen. Het is belangrijk om de regels, richtlijnen en standaarden van het CA/B Forum te volgen. Hier bespreken we enkele van de belangrijkste vereisten van het Forum.    

• Basisvereisten voor SSL/TLS-certificaten

  Het CA/B Forum stelt standaarden vast voor SSL/TLS-certificaten, waarbij certificaattransparantie een belangrijke vereiste is. Certificaattransparantie houdt in dat elk uitgegeven certificaat wordt geregistreerd in openbare databases, zodat iedereen certificaten voor een specifiek domein kan controleren. Dit helpt bij het detecteren van ongeautoriseerde of verkeerd uitgegeven certificaten en stelt website-eigenaren in staat deze snel in te trekken, misbruik te voorkomen en de algehele beveiliging te verbeteren.
  Dit initiatief is een samenwerkingsverband tussen browsers, Google en het CA/B Forum. Terwijl het Forum de richtlijnen vaststelt, zorgen browsers ervoor dat gebruikers beschermd zijn door certificaten te markeren die gecompromitteerd, verlopen of niet-vertrouwd zijn. Certificaattransparantie speelt een cruciale rol bij het veiliger maken van het web door een open en toegankelijke manier te bieden om de legitimiteit van certificaten te verifiëren.
   Leer meer over de basisvereisten van het CA/B-forum via hier.

• Overige vereisten

  Het CA/B Forum heeft werkgroepen die standaarden creëren voor veilige communicatie, waaronder Code Signing, S/MIME en netwerkbeveiliging. Het stelt ook protocollen zoals het Online Certificate Status Protocol (OCSP) en Certificate Revocation Lists (CRL) verplicht. Deze zorgen ervoor dat gecompromitteerde certificaten realtime worden geïdentificeerd en ingetrokken. Als een certificaat bijvoorbeeld wordt misbruikt of gecompromitteerd, zorgt OCSP ervoor dat het onmiddellijk ongeldig wordt verklaard, waardoor het risico op aanvallen met ingetrokken certificaten wordt verkleind.

• Richtlijnen voor uitgebreide validatie (EV)

  Het CA/B Forum introduceerde in 2007 de Extended Validation (EV)-richtlijnen om strengere verificatie te eisen voor certificaataanvragers. Dit proces hielp websites vertrouwen op te bouwen bij gebruikers door hun identiteit te bevestigen. EV-certificaten werden met name gebruikt door banken en andere organisaties die gevoelige gebruikersgegevens verwerken, omdat ze de zekerheid boden dat de site geverifieerd was.
  De meeste browsers markeren echter geen EV-specifieke indicatoren meer, zoals de weergave van bedrijfsnamen in de adresbalk, vanwege de beperkte impact op het gebruikersgedrag. Hierdoor is de praktische betekenis van EV-certificaten verminderd. Desondanks blijft het strengere validatieproces belangrijk om de beveiliging van websites en hun gebruikers te verbeteren. EV-certificaten bieden een hogere mate van vertrouwen, waardoor gebruikers legitieme websites gemakkelijker kunnen identificeren en beschermen tegen phishingaanvallen. Meer informatie over dit onderwerp vindt u op de onderstaande websites.
  Huidige versie: Richtlijnen voor EV TLS-servercertificaten 2.0.1.
  Andere versies: Validatiedocumenten

• Sterkere cryptografische algoritmen

  Het Forum heeft zich ingezet om het gebruik van sterkere cryptografische algoritmen te bevorderen door verouderde algoritmen af ​​te schaffen en de beveiliging op het internet te verbeteren. Dit omvat de overgang van algoritmen zoals SHA-1 naar SHA-256 voor certificaathandtekeningen, waardoor de encryptiesterkte aanzienlijk wordt verbeterd. Het Forum werkt ook samen met marktleiders op het gebied van post-kwantumcryptografie om nieuwe bedreigingen door ontwikkelingen in de computertechnologie, zoals quantumcomputers, aan te pakken. NIST heeft al verschillende algoritmen geselecteerd. PQC Algoritmen om zich voor te bereiden op de toekomstige bedreigingen van quantumcomputers. Zo is CRYSTALS-Kyber gekozen voor veilige sleuteluitwisseling en CRYSTALS-Dilithium voor digitale handtekeningen. Deze algoritmen zijn ontworpen om aanvallen van quantumcomputers te weerstaan, die traditionele encryptiemethoden zouden kunnen kraken.
  Het CA/B Forum zal zich waarschijnlijk aansluiten bij deze inspanningen om certificeringsinstanties (CA's) en browserleveranciers te begeleiden bij de invoering van deze nieuwe algoritmen. Deze samenwerking zal ertoe bijdragen dat digitale certificaten en encryptiemethoden in de toekomst veilig blijven.
  Een recent voorbeeld van hoe deze standaarden helpen, is de beslissing van grote bedrijven zoals Google en Microsoft om SHA-1-certificaten volledig uit te faseren. Deze stap heeft de beveiliging van miljoenen websites aanzienlijk versterkt en potentiële aanvallen zoals die in 2017 voorkomen, toen aanvallers zwakke plekken in SHA-1-certificaten konden misbruiken om SSL/TLS-certificaten te vervalsen. Door sterkere encryptiemethoden te gebruiken, kunnen bedrijven de gegevens van hun gebruikers beschermen en soortgelijke kwetsbaarheden vermijden. Hier vindt u een overzicht van de richtlijnen die het CA/B-forum voor ontwikkelaars heeft opgesteld: Richtlijnen voor ontwikkelaars.

• Netwerk- en certificaatsysteembeveiligingsvereisten

  Het CA/Browser Forum heeft ook een reeks beveiligingsvereisten voor netwerken en certificaatsystemen opgesteld. Deze vereisten schrijven de beveiligingsmaatregelen voor die CA's moeten nemen om de infrastructuur die certificaten uitgeeft te beschermen en de veiligheid van hun certificaten te waarborgen. Zo heeft het Forum na de DigiNotar-inbreuk in 2011, waarbij het certificaatuitgiftesysteem in gevaar kwam, strengere richtlijnen ingevoerd om dergelijke incidenten te voorkomen.
  Huidige versie: Vereisten voor netwerk- en beveiligingssystemen.
  Links naar oudere versies: Oudere versie van de vereisten.

• Uitlijning met NIST- en FIPS-normen

  Het CA/Browser Forum, NIST en FIPS werken samen om de internetbeveiliging te versterken, met name op het gebied van digitale certificaten. Het CA/Browser Forum vereist sterke encryptiemethoden om digitale certificaten te beschermen. Deze methoden moeten voldoen aan de FIPS 140-2-standaard van NIST, die regels stelt voor hoe encryptie veilig moet worden afgehandeld. Dit garandeert dat de uitgegeven certificaten gebaseerd zijn op de beste en veiligste encryptiepraktijken. De vereisten van NIST voor de Cryptografische modules.
  Wanneer u deze vereisten vergelijkt met de vereisten van het CA/B-forum voor cryptografische modules, begrijpt u hoe deze twee hand in hand gaan. Ook voor sleutelbeheer sluiten de richtlijnen van NIST, zoals SP 800-57, aan bij de vereisten van het forum voor het veilig opslaan en beschermen van privésleutels. Dit helpt sleutelcompromittering te voorkomen, een cruciaal risico voor de integriteit van certificaten. Hier is de link waar u de NIST-richtlijnen kunt raadplegen. Vereisten voor sleutelbeheer.

• Vereisten voor het ondertekenen van code voor het CA/B-forum

  Als u zich afvraagt ​​wat de reikwijdte van het CA/B-forum is, zult u misschien verbaasd zijn. Het CA/Browser Forum werkt ook efficiënt met codeondertekeningscertificaten. Deze worden gebruikt om de integriteit en oorsprong van software die van internet wordt gedownload te garanderen. Microsoft gebruikt bijvoorbeeld codeondertekeningscertificaten om Windows-updates te verifiëren en gebruikers te beschermen tegen de installatie van schadelijke software die vermomd is als legitieme updates. Deze richtlijnen verbeteren de beveiliging door te beschermen tegen schadelijke software en ervoor te zorgen dat gebruikers veilige, geverifieerde programma's downloaden. Lees er meer over: hier.

• Het verkorten van de geldigheidsduur van SSL/TLS-certificaten

  Het CA/B Forum introduceerde kortere geldigheidsperiodes voor SSL/TLS-certificaten vanwege zorgen over de beveiliging van certificaten en de mogelijke inbreuken daarop. Deze aankondiging was bedoeld om het risico op inbreuk op certificaten in de loop van de tijd te verminderen. Het verkorten van de geldigheidsperiode zorgt voor snellere verlenging en betere tracering van certificaten.
  Kortere geldigheidsperiodes hielpen Apple bijvoorbeeld om snel veilige algoritmen in zijn ecosysteem te implementeren, waardoor gecompromitteerde of verouderde certificaten snel werden vervangen. De overstap van Google naar certificaten met een geldigheidsduur van 90 dagen heeft de beveiliging verder versterkt en het risico op sleutelcompromittering verminderd. U kunt via de volgende link leren hoe u soepel kunt overstappen en werken aan de geldigheid van SSL/TLS-certificaten: Encryptie-advies over de 90-dagencertificaten van Google.

De impact van het CA/Browser Forum op internetbeveiliging

Het CA/Browser Forum is een organisatie die de internetveiligheid helpt verbeteren door regels op te stellen voor de uitgifte en het gebruik van digitale certificaten. De richtlijnen van het Forum zorgen ervoor dat alleen betrouwbare organisaties deze certificaten kunnen verkrijgen. Dit verkleint de kans op het gebruik van valse certificaten en zorgt ervoor dat gebruikers veilig kunnen internetten. 

Een van de belangrijkste manieren waarop het Forum helpt, is door bescherming te bieden tegen man in het midden aanvallen. Deze aanvallen vinden plaats wanneer hackers proberen gegevens die tussen een gebruiker en een website worden gedeeld, te onderscheppen en te stelen. Het Forum vereist dat alle websites encryptie gebruiken. Encryptie versleutelt gegevens zodat ze niet kunnen worden gelezen door iemand die ze niet mag zien. Dit maakt het voor hackers veel moeilijker om tijdens deze aanvallen informatie te stelen of te manipuleren. 

Het Forum helpt ook datalekken te voorkomen door goed certificaatbeheer te bevorderen. Certificaten helpen bepalen wie toegang heeft tot gevoelige informatie. Wanneer certificaten correct worden beheerd, is het voor onbevoegden moeilijker om toegang te krijgen tot privégegevens. Dit is belangrijk om persoonlijke en zakelijke informatie te beschermen tegen cybercriminelen.

Risico's van het niet correct naleven van de richtlijnen van het CA/B-forum

Stel je een scenario voor waarin je de richtlijnen van het CA/B Forum niet naleeft; dit zal ernstige gevolgen hebben. Onjuiste naleving van de richtlijnen van het CA/B Forum kan leiden tot diverse cyberdreigingen. Hier bespreken we enkele veelvoorkomende cyberaanvallen en de gevolgen ervan in situaties waarin de richtlijnen van het CA/B Forum niet correct zijn nageleefd.    

1. Datalekken en beveiligingskwetsbaarheden

Zonder strikt certificaatbeheer kunnen uw gevoelige gegevens worden blootgesteld aan cyberaanvallen zoals phishing, certificaatspoofing of man-in-the-middle (MITM)-aanvallen.    

• Equifax-gegevenslek (2017)

Een van de grootste datalekken ooit, dat 147 miljoen mensen trof, was deels te wijten aan een verlopen SSL-certificaat. Het verlopen certificaat verhinderde inspectie van versleuteld dataverkeer op een interne server, waardoor het onmogelijk was om een ​​datalek dat 76 dagen duurde, te detecteren. Door deze storing werden gevoelige persoonlijke gegevens, waaronder burgerservicenummers en financiële gegevens, blootgelegd.
Het volgen van de richtlijnen van het CA/B Forum voor certificaatlevenscyclusbeheer, inclusief geautomatiseerde monitoring en verlenging van SSL-certificaten, had deze mislukking kunnen voorkomen. Organisaties moeten certificaten actief volgen en verlengen om de encryptie te behouden en ervoor te zorgen dat netwerkbeveiligingstools naar behoren functioneren.

• De verkeerd uitgegeven Symantec-certificaten van Google (2017)

Google ontdekte dat door Symantec uitgegeven SSL-certificaten niet voldeden aan de normen van het CA/B Forum. De CA's van Symantec gaven ten onrechte meer dan 30,000 certificaten uit zonder de juiste validatie, wat in strijd was met de basisvereisten voor certificaatuitgifte. Dit incident had tot gevolg dat Google en Mozilla aankondigden dat ze geleidelijk minder vertrouwen zouden hebben in door Symantec uitgegeven certificaten.
Om dergelijke incidenten te voorkomen, moeten organisaties ook hun CA's controleren om ervoor te zorgen dat ze de vastgestelde richtlijnen volgen. In dit geval had strenger toezicht op de validatieprocessen van Symantec en naleving van de regels van het forum de onjuiste uitgifte kunnen voorkomen. Nadat het probleem was ontdekt, vormden de normen van het CA/B-forum een ​​basis voor browsers zoals Google en Mozilla om Symantec ter verantwoording te roepen, waardoor het vertrouwen in onjuist uitgegeven certificaten werd afgebouwd en de beveiliging in de toekomst werd verbeterd.

2. Wantrouwen van de gebruiker

Als certificaten niet goed worden beheerd, kunnen browsers waarschuwingen weergeven, waardoor gebruikers het vertrouwen in uw website of merk verliezen. We moeten daarom altijd de richtlijnen van het CA/B-forum volgen om het vertrouwen van de gebruiker te behouden. Laten we eens kijken naar zo'n fout uit 2011.

• DigiNotar-inbreuk (2011)

In 2011 hebben hackers DigiNotar, een vertrouwde certificeringsinstantie, gehackt en valse SSL-certificaten uitgegeven voor belangrijke domeinen zoals Google. Deze certificaten werden gebruikt in een man-in-the-middle-aanval, wat leidde tot een aanzienlijke inbreuk op de beveiliging. Het incident leidde ertoe dat browsers het vertrouwen in de certificaten van DigiNotar introkken, wat uiteindelijk leidde tot de ondergang van het bedrijf.
Deze zaak benadrukt het belang van het volgen van de richtlijnen van het CA/B Forum, zoals het garanderen van veilige CA-systemen, het zorgvuldig valideren van certificaataanvragen en het gebruik van certificaattransparantielogs om ongeautoriseerde certificaten te detecteren. Als deze procedures waren gevolgd, had de aanval kunnen worden gedetecteerd en voorkomen, waardoor het vertrouwen van de gebruiker en de geloofwaardigheid van DigiNotar behouden waren gebleven.

3. Nalevingsfouten

Het niet naleven van deze normen kan leiden tot niet-naleving van de regelgeving voor de sector, wat kan leiden tot boetes en sancties. We moeten dus een aantal voorbeelden bekijken en bekijken wat de impact is wanneer er sprake is van niet-naleving.  

• Trustico-incident (2018)

In 2018 ging Trustico, een wederverkoper van SSL-certificaten, oneigenlijk om met privésleutels door deze onveilig op te slaan. Toen Trustico privésleutels via e-mail deelde met DigiCert, overtrad het de vereisten van het CA/B Forum voor veilig sleutelbeheer. Dit leidde tot grote zorgen over de beveiliging van de certificaten en leidde ertoe dat DigiCert meer dan 23,000 via Trustico uitgegeven SSL-certificaten introk.
Dit incident onderstreept het belang van naleving van de richtlijnen van het CA/B Forum, die veilige opslag en verwerking van privésleutels vereisen om ongeautoriseerde toegang te voorkomen. Als Trustico deze regels had gevolgd, had de inbreuk voorkomen kunnen worden, waardoor het vertrouwen van de gebruikers behouden was gebleven en massale intrekkingen van certificaten, die bedrijven die afhankelijk zijn van die certificaten, in de war hadden geschopt, hadden kunnen worden voorkomen.

Best practices om risico's te beperken en naleving van het CA/B-forum te garanderen

Door best practices te volgen, kunnen we risico's effectief beperken en de beveiliging van onze organisatie versterken. Bovendien zorgen best practices ervoor dat we gereguleerd en relevant blijven in de wereld van technologie.    

1. Automatiseer certificaatbeheer

Het automatiseren van certificaatbeheer is hierbij een essentieel onderdeel. Met behulp van tools zoals CertSecure Manager kan helpen bij het automatiseren van de verlenging en controle van SSL-certificaten. Dit zorgt ervoor dat certificaten altijd actueel zijn en niet zomaar verlopen. Bovendien automatiseren protocollen zoals ACME, gebruikt door Let's Encrypt, de uitgifte en verlenging van SSL/TLS-certificaten, wat de beveiliging en naleving ten goede komt. 

Een bedrijf dat bijvoorbeeld zijn certificaatvernieuwingsproces automatiseert, vermijdt beveiligingswaarschuwingen op zijn website en behoudt het vertrouwen van zijn gebruikers. Zonder automatisering kunnen verlopen certificaten ertoe leiden dat browsers beveiligingswaarschuwingen weergeven, waardoor gebruikers de website kunnen verlaten, wat zowel het bedrijf als de reputatie schaadt. 

2. Regelmatige audits en monitoring

Controleer regelmatig certificaten om naleving te garanderen en snel potentiële kwetsbaarheden of verlopen certificaten op te sporen. Bent u ooit het overzicht kwijtgeraakt over alle apps die op uw telefoon zijn geïnstalleerd? Sommige zijn misschien oud of ongebruikt, maar ze zijn er nog steeds, nemen ruimte in beslag of veroorzaken zelfs problemen. Hetzelfde gebeurt met uw certificaten.

3. Volg sterke encryptiestandaarden

Houd u aan de nieuwste encryptievereisten, zoals 2048-Bitsleutels voor RSA, om sterke beveiliging te garanderen. Stel je voor dat je wifi geen wachtwoord heeft. Iedereen in de buurt zou kunnen inbreken en je verbinding kunnen manipuleren. Dat is wat er gebeurt als bedrijven zwakke encryptie gebruiken. Dus, net als sterke wifi-wachtwoorden, moeten we ook krachtige SSL-sleutels gebruiken, die supersterke digitale sloten creëren.    

4. Implementeer op rollen gebaseerde toegangscontrole (RBAC)

Het implementeren van Role-Based Access Control (RBAC) is een belangrijke stap in het beheren van certificaatbeveiliging en het waarborgen van naleving van de standaarden van het CA/B Forum. Door de toegang tot certificaatbeheertaken te beperken op basis van gebruikersrollen, vermindert RBAC het risico op ongeautoriseerde wijzigingen en verbetert het de beveiliging. Dit zorgt ervoor dat alleen geautoriseerd personeel certificaten kan wijzigen, verlengen of controleren, waardoor onbedoelde of kwaadaardige wijzigingen worden voorkomen. 

Hulpmiddelen zoals onze CertSecure Manager (Certificaatbeheertool) en onze CodeSign Secure (Code Signing Tool) maakt het eenvoudiger om RBAC effectief te implementeren in uw bestaande workflow. CertSecure Manager stelt u in staat om certificaatvernieuwingen en -monitoring te automatiseren en tegelijkertijd RBAC af te dwingen, zodat alleen de juiste personen toegang hebben tot essentiële certificaatbeheerfuncties. CodeSign Secure zorgt ervoor dat alleen vertrouwde gebruikers softwarecode kunnen ondertekenen, waardoor manipulatie wordt voorkomen. Deze werkwijzen helpen niet alleen beveiligingsrisico's te beperken, maar sluiten ook aan bij de best practices van het CA/B Forum, waardoor uw organisatie compliant en veilig blijft. 

5. Plan voor incidentrespons

In het geval van een beveiligingsprobleem kunt u snel de aangetaste certificaten intrekken en vervangen door nieuwe certificaten. Zo beperkt u de schade bij een beveiligingsprobleem.     

Bij een tech-startup werd ooit het SSL/TLS-certificaat gestolen en zat het bedrijf dagenlang zonder plan. Ze hadden moeite om het gecompromitteerde certificaat snel in te trekken en te vervangen, wat leidde tot grote verstoringen in hun dienstverlening. Om dit te voorkomen, zouden bedrijven het intrekken en vervangen van certificaten moeten automatiseren met tools zoals CertSecure Manager of ACME-protocollen. CertSecure Manager kan bijvoorbeeld direct een gecompromitteerd certificaat intrekken en een nieuw certificaat uitgeven, waardoor de downtime tot een minimum wordt beperkt en hackers het gestolen certificaat niet kunnen misbruiken. Deze aanpak zorgt ervoor dat de bedrijfsvoering veilig blijft en soepel verloopt tijdens noodsituaties. 

Hoe kan Encryption Consulting u helpen? 

Met onze diepgaande expertise in beveiliging en compliance stellen we organisaties in staat om de complexiteit van de richtlijnen van het CA/B Forum te doorgronden en tegelijkertijd certificaatgerelateerde risico's te beperken. Bedrijven kunnen hun certificaatbeheer stroomlijnen met tools zoals CertSecure Manager, automatiseren certificaatvernieuwingen en controleren hun systemen regelmatig om kwetsbaarheden te identificeren. We helpen ook bij de implementatie van beveiligingsbeleid, zoals Role-Based Access Control (RBAC), zodat alleen geautoriseerde gebruikers certificaten kunnen beheren. 

Als onderdeel van onze inzet voor het versterken van de beveiliging, raden wij aan om Elliptic Curve Cryptography (ECC) te gebruiken voor SSL / TLS certificaten. ECC Biedt hetzelfde beveiligingsniveau als traditionele RSA met kleinere sleutelgroottes, waardoor het efficiënter en minder resource-intensief is, wat met name gunstig is voor mobiele apparaten en IoT-apparaten. Daarnaast ondersteunen we de afschaffing van zwakke codes zoals RC4 en 3DES in SSL/TLS-communicatie in overeenstemming met CA / B-forum aanbevelingen, waardoor organisaties moderne encryptiepraktijken implementeren voor verbeterde beveiliging. Via onze oplossingen zoals Code ondertekening en diensten als HSM-as-a-Serviceen PKI-as-a-ServiceWij helpen bedrijven vertrouwen op te bouwen bij hun gebruikers, waarbij we de hoogste encryptiestandaarden hanteren. 

Conclusie  

Het volgen van de richtlijnen van het CA/B Forum is cruciaal om digitale certificaten veilig en betrouwbaar te houden. Het automatiseren van certificaatbeheer met behulp van sterkere encryptie zoals ECC, en ervoor zorgen dat gecompromitteerde certificaten snel worden ingetrokken, helpt risico's te voorkomen. Hulpmiddelen zoals CertSecure Manager en CodeSign Secure maken het voor organisaties gemakkelijker om compliant te blijven en hun software te beschermen. Door deze procedures te volgen, kunnen bedrijven hun systemen veilig houden. beveiligen en vertrouwen opbouwen met hun gebruikers.