Wat is een zelfondertekend certificaat? Voordelen, nadelen en risico's

Een zelfondertekend certificaat is een digitaal certificaat dat is ondertekend door dezelfde entiteit die het heeft aangemaakt, in plaats van door een vertrouwde certificeringsinstantie. Hierdoor ontbreekt een vertrouwensketen die automatisch door browsers of besturingssystemen wordt herkend. 

Met een zelfondertekend certificaat kan iedereen een werkend TLS-, codeondertekenings- of clientcertificaat genereren zonder tussenkomst van een certificeringsinstantie, waardoor het snel en gratis is. Omdat geen enkele vertrouwde CA ervoor instaat, geven browsers en besturingssystemen een waarschuwing weer en is er geen openbaar mechanisme om het snel in te trekken als het gecompromitteerd is. Daardoor zijn zelfondertekende certificaten zeer geschikt voor interne tests, ontwikkeling en geïsoleerde systemen, maar minder geschikt voor publiek toegankelijk productieverkeer.

Key Takeaways 

• Een zelfondertekend certificaat wordt ondertekend met zijn eigen privésleutel in plaats van door een certificeringsinstantie, waardoor de velden voor uitgever en onderwerp identiek zijn. 
• Het is snel, gratis en handig voor ontwikkeling, testen en interne systemen, maar browsers geven er een vertrouwenswaarschuwing bij op openbare websites. 
• Er is geen certificeringsinstantie (CA) die een gecompromitteerd zelfondertekend certificaat via een openbare vertrouwensopslag kan intrekken, en het is moeilijk om elk zelfondertekend certificaat in een omgeving te traceren zonder een detectietool. 
• Regelgeving zoals GDPR, HIPAA en PCI DSS verbiedt zelfondertekende certificaten niet volledig, maar slecht beheer ervan kan de naleving van de regelgeving in gevaar brengen. 
• Een particuliere certificeringsinstantie via PKI-as-a-Service biedt de snelheid van zelfondertekende certificaten met een echte vertrouwensketen en gecentraliseerd levenscyclusbeheer. 

Wat is een zelfondertekend certificaat?

Een zelfondertekend certificaat is een X.509-certificaat waarbij de uitgever en het onderwerp dezelfde entiteit zijn: degene die het certificaat heeft aangemaakt, heeft het ondertekend met zijn eigen privésleutel in plaats van een certificaatondertekeningsverzoek (CSR) naar een openbare of particuliere certificeringsinstantie te sturen. Omdat geen derde partij de identiteit in het certificaat garandeert, hebben vertrouwende partijen, browsers, besturingssystemen of applicaties geen ingebouwde reden om het te vertrouwen. 

Zelfondertekende certificaten zijn meestal TLS-certificaten , maar dezelfde zelfondertekeningsmethode is ook van toepassing op codeondertekeningscertificaten en S/MIME-certificaten (e-mailcertificaten).

Hoe herken je of een certificaat zelfondertekend is?

Controleer het veld 'uitgever' in de certificaatdetails. Als de uitgever overeenkomt met het onderwerp, of als de uitgever niet wordt herkend door de vertrouwensopslag van het systeem, is het certificaat zelfondertekend. 

Zelfondertekende certificaten versus door een certificeringsinstantie uitgegeven certificaten

Afmeting	Zelf ondertekend	CA-uitgegeven
Emittent	Dezelfde entiteit die het certificaat heeft aangemaakt.	Een betrouwbare openbare of particuliere certificeringsinstantie.
Vertrouwd	Wordt standaard niet herkend; veroorzaakt waarschuwingen in de browser.	Wordt automatisch vertrouwd als de CA zich in de vertrouwensarchief van de vertrouwende partij bevindt.
Kosten en snelheid	Gratis en direct te genereren.	Variërend van gratis (DV) tot betaald, met een uitgiftetermijn van enkele minuten tot weken, afhankelijk van het validatieniveau.
herroeping	Er bestaat geen openbaar herroepingsproces.	De CA kan de licentie intrekken en deze status via een CRL of OCSP publiceren.
Beste pasvorm	Ontwikkeling, testen, systemen uitsluitend voor intern gebruik.	Productiesystemen die toegankelijk zijn voor het publiek en alles wat vertrouwen van derden vereist.

Wanneer zelfondertekende certificaten zinvol zijn

• Ontwikkelings- en testomgevingen, waar het wachten op de uitgifte van een CA de iteratie zou vertragen. 
• Interne tools en laboratoriumsystemen die nooit met het openbare internet verbonden zijn. 
• Vroege fase CI / CD-pijpleidingenwaarbij teams zelfondertekende certificaten of ingebouwde CA's zoals HashiCorp Vault of de interne CA van Kubernetes gebruiken om snel tussen omgevingen te wisselen. 
• Geïsoleerde omgevingen waar elke fase van ontwikkeling, testen en implementatie profiteert van een eigen, onafhankelijk certificaat. 

Risico's van zelfondertekende certificaten in de productie

• Geen vertrouwde derde partij. Browsers en besturingssystemen vertrouwen standaard geen zelfondertekende certificaten, waardoor bezoekers een beveiligingswaarschuwing of een melding 'Risico accepteren' te zien krijgen voordat ze verder kunnen gaan. 
• Er bestaat geen snelle intrekkingsprocedure. Als de sleutel van een door een certificeringsinstantie (CA) uitgegeven certificaat wordt gecompromitteerd, kan de CA het certificaat intrekken en zullen browsers dat respecteren. Een zelfondertekend certificaat heeft geen vergelijkbaar mechanisme. 
• Gebrek aan inzicht. Certificaten die via een certificeringsinstantie (CA) zijn uitgegeven, kunnen centraal worden bijgehouden. Zelfondertekende certificaten, die ad hoc door een willekeurig team worden aangemaakt, zijn veel gemakkelijker uit het oog te verliezen. 
• Man-in-the-middle-aanval. Een aanvaller kan zijn eigen, zelfondertekende certificaat gebruiken om zich voor te doen als een dienst, als gebruikers gewend zijn om waarschuwingen over vertrouwen te negeren. 

Zelfondertekende certificaten en naleving

De AVG, HIPAA en PCI DSS verbieden zelfondertekende certificaten niet expliciet, maar vereisen wel een sterke bescherming van de gegevens die anders door die certificaten beveiligd zouden worden. Het gebruik van een onbeheerd zelfondertekend certificaat voor betaalgegevens, beschermde gezondheidsinformatie of persoonsgegevens van EU-ing ingezetenen verschuift de nalevingslast naar de beveiligingsmaatregelen rondom dat certificaat: wie mag er een aanmaken, waar de privésleutel zich bevindt en hoe snel deze kan worden vervangen als deze gecompromitteerd raakt. In de praktijk wordt er in de meeste gevallen gemakkelijker voldaan aan de compliance-eisen met certificaten die zijn uitgegeven en beheerd door een certificeringsinstantie (CA).

Een beter alternatief voor intern gebruik: privé-PKI

De belangrijkste voordelen van zelfondertekende certificaten – snelheid en geen kosten per certificaat – zijn ook beschikbaar via een private certificeringsinstantie, zonder dat dit ten koste gaat van een echte vertrouwensketen of gecentraliseerd lifecyclemanagement. PKI-as-a-Service stelt teams in staat om certificaten aan te vragen en uit te geven via selfservice-workflows vanuit een veilig geroot intern CA-systeem, waardoor de noodzaak voor een zelfondertekend certificaat in de eerste plaats vervalt. 

Hoe encryptieconsultancy kan helpen 

CertSecure Manager houdt zelfondertekende en door een CA uitgegeven certificaten naast elkaar bij, zodat niets dat daadwerkelijk verkeer beschermt onbeheerd blijft. Voor teams die de snelheid van zelfondertekende certificaten willen combineren met een echte vertrouwensketen, biedt PKI-as-a-Service de mogelijkheid om certificaten te laten uitgeven door een veilig gerootte private CA via selfservice-workflows.

Veelgestelde Vragen / FAQ

Hoe lang is een zelfondertekend certificaat geldig? 

Er is geen door de certificeringsinstantie opgelegde limiet. De maker bepaalt de geldigheidsperiode, die kan variëren van enkele dagen tot vele jaren, afhankelijk van waarvoor het certificaat wordt gebruikt. 

Zijn zelfondertekende certificaten veilig in gebruik?

Ze zijn veilig voor ontwikkelings-, test- en interne systemen waar de betrokken partijen elkaar al kennen en vertrouwen. Ze zijn niet veilig voor publiek toegankelijk productieverkeer, waar bezoekers geen manier hebben om de identiteit achter het certificaat te verifiëren. 

Kan ik een zelfondertekend certificaat gebruiken voor een productiewebsite? 

Technisch gezien wel, maar browsers tonen elke bezoeker een beveiligingswaarschuwing, wat het vertrouwen schaadt en de meeste gebruikers zal afschrikken. Een door een certificeringsinstantie uitgegeven certificaat, zelfs een gratis, domeingevalideerd certificaat, voorkomt dit volledig. 

Wat is het verschil tussen een zelfondertekend certificaat en een privé-CA-certificaat? 

Een zelfondertekend certificaat heeft geen uitgevende instantie; de ​​maker ondertekent zijn eigen certificaat. Een privé-CA-certificaat wordt uitgegeven door een interne certificeringsinstantie die door andere interne systemen wordt vertrouwd, waardoor er een echte, zij het interne, vertrouwensketen ontstaat. 

Blokkeren browsers zelfondertekende certificaten? 

Browsers blokkeren ze niet direct, maar onderbreken de verbinding met een waarschuwingspagina die de bezoeker expliciet moet negeren om verder te kunnen gaan. Zoekmachines en beveiligingsscanners signaleren ook zelfondertekende certificaten op openbare websites. 

Vervang zelfondertekende certificaten door een echte vertrouwensketen. 

Bent u klaar om af te stappen van zelfondertekende certificaten zonder uw teams te vertragen? Bekijk PKI-as-a-Service in actie of vraag een demo aan van CertSecure Manager.