Wat is een trust store en de bijbehorende problemen

Veilige communicatie is essentieel in de wereld van vandaag, en truststores spelen een belangrijke rol om dit te waarborgen. Een truststore is een digitale opslagplaats die slaat certificaten op van geverifieerde bronnen.

Wanneer we een website bezoeken en een pictogram van een beveiligd slotje zien, betekent dit dat we verbonden zijn met een beveiligd netwerk. Dit komt doordat er achter de schermen een complex systeem werkt. Een truststore maakt dit systeem mogelijk. Maar wat is een truststore precies en hoe werkt het?

Beschouw onze vrienden op sociale media als een trust store. We accepteren alleen een vriendschapsverzoek van iemand die we kennen of die we door een vertrouwde connectie hebben aanbevolen. Een trust store is een opslagplaats voor al je vrienden. digitale certificaten uitgegeven door de Certificeringsautoriteit (CA) die ons besturingssysteem of onze browser vertrouwt. Deze certificaten zijn als digitale identificatie van de websites die we bezoeken en vertellen ons of de website betrouwbaar is of niet.

Om een ​​beter begrip te krijgen, moeten we nu eens kijken hoe het proces van verificatie werken:

1. Websites sturen digitale certificaten

   Wanneer we een website bezoeken, wordt er een digitaal certificaat naar de browser gestuurd.

2. Trust Store controleert het certificaat

   Hierbij speelt de Trust Store een rol. Deze verifieert het digitale certificaat.

3. Is het certificaat betrouwbaar?

   Als een CA het digitale certificaat op de trust store-lijst ondertekent, wordt het certificaat als betrouwbaar beschouwd en is de verbinding beveiligd.

4. Verbinding is niet beveiligd

   Als het certificaat echter niet overeenkomt met een bekende CA, geeft de trust store een waarschuwingssignaal. In dat geval zien we de melding 'verbinding niet beveiligd'.

Besturingssystemen en webbrowsers houden tegenwoordig een lijst bij van deze certificaten, zogenaamde trust stores. Dit helpt bij het implementeren van strikte criteria om te bepalen welke CA-certificaten als betrouwbaar worden beschouwd. Trust stores maken veilige communicatie mogelijk door tijdens online interactie naar deze certificaten te verwijzen en helpen u te voorkomen dat u in contact komt met mogelijk kwaadwillende entiteiten. 

Volg deze stappen om vertrouwde rootcertificaten op uw Windows-machines te zien:

1. Open het Configuratiescherm. 
2. Klik op ‘Netwerk en internet’. 
3. Selecteer ‘Internetopties’.
4. Ga in het venster Interneteigenschappen naar het tabblad ‘Inhoud’. 
5. Klik op de knop ‘Certificaten’.
6. Ga in het venster Certificaten naar het tabblad ‘Vertrouwde basiscertificeringsinstanties’.

De vraag rijst nu waar deze truststore vandaan komt. Er zijn vier grote organisaties die dergelijke truststores beheren.

1. Microsoft-rootcertificaatprogramma dat door Windows wordt gebruikt. 
2. Het Apple root-certificaatprogramma wordt door alle Mac-apparaten gebruikt. 
3. Het Mozilla root-certificaatprogramma wordt door Mozilla zelf en de meeste Linux-distributies gebruikt. 
4. Google Root-certificaatprogramma dat wordt gebruikt door Google Chrome en andere applicaties. 

Elk van deze entiteiten heeft zijn eigen normen en vereisten voor het opnemen van een rootcertificaat in de trust store. Ze vereisen echter allemaal dat een CA een of meer audits ondergaat voordat hun rootcertificaat kan worden opgenomen.

Er zijn nu honderden CA's die door de Basisvereisten voor het CA/Browser Forum, waarin de regels zijn vastgelegd waaraan vertrouwde certificeringsinstanties (CA's) zich moeten houden voordat ze certificaten uitgeven.

Bovendien worden CA's gecontroleerd op naleving van deze regels en protocollen als onderdeel van het WebTrust-auditprogramma, dat door sommige root-certificaatprogramma's zoals Mozilla vereist is voor opname in hun trust stores.

De onderstaande tabel geeft een overzicht van de belangrijkste aspecten van de trust store. 

Aspect	Beschrijving	Voorbeeld
Aantal vertrouwde root-CA's	Het aantal certificeringsinstanties (CA's) waarvan de certificaten vooraf zijn geïnstalleerd en worden vertrouwd door een specifieke trust store.	Windows 10 vertrouwt doorgaans 100-150 root-CA's. Mozilla Firefox hanteert een selectievere aanpak en vertrouwt ongeveer 50-60 root-CA's.
Frequentie van updates	Hoe vaak de trust store wordt bijgewerkt met nieuwe of ingetrokken certificaten?	Trust stores worden wekelijks of maandelijks bijgewerkt.
Soorten opgeslagen certificaten	De verschillende typen certificaten die een trust store kan bevatten, naast websitecertificaten.	Websitecertificaten(SSL / TLS) Code ondertekening certificaten (gebruikt om de authenticiteit van software te verifiëren) E-mailondertekeningscertificaten (gebruikt om e-mails digitaal te ondertekenen)
Veelvoorkomende verificatiefouten	Voorbeelden van fouten die een gebruiker kan tegenkomen als het certificaat van een website niet wordt gevalideerd in de trust store.	Certificaat niet geldig” – Dit is een waarschuwing over een verlopen certificaat of een certificaat dat is uitgegeven door een onbekende CA. 'Verbinding niet beveiligd': dit is een algemene waarschuwing dat het certificaat van de website niet kon worden gevalideerd.

In dit scenario worden certificeringsinstanties beschouwd als betrouwbare derde partijen bij het uitgeven van digitale beveiligingscertificaten zoals SSL, codeondertekening, enz. Ze beheren openbare sleutels en andere encryptiegerelateerde gegevens. Ze authenticeren en koppelen ook websites, e-mailadressen, bedrijven en andere partijen aan cryptografische sleutels.

De CA is verantwoordelijk voor het verifiëren en uitgeven van de gegevens van de organisatie met onderscheidende certificaten. Deze CA's worden vertrouwd om de legitimiteit van een website/organisatie te verifiëren, en sommige onderzoekers hebben erop gewezen dat hun rol in dit systeem een ​​single point of failure zou kunnen zijn. Bovendien betekent dit, als een CA gecompromitteerd is, in principe dat elke aanvaller valse certificaten kan uitgeven en misbruik kan maken van het verificatieproces van de trust store. 

Het beheer van het complexe web van sleutels en certificaten kan complex zijn. Beveiligingsonderzoekers wijzen op deze complexiteit als een potentiële kwetsbaarheid. Fouten of kwetsbaarheden in dit proces kunnen kansen creëren voor aanvallers om er misbruik van te maken. 

Om deze problemen op te lossen, worden doorgaans ingewikkelde oplossingen gebruikt, zoals een certificaat levenscyclusbeheeroplossing (CLM). Een CLM kan een organisatie potentieel helpen bij het beheren van haar certificaten.

De implementatie van een gecentraliseerde CLM zorgt voor beter en centraal toezicht en controle over de gehele certificaatlevenscyclus. Het geeft de organisatie beter inzicht in certificaten, handhaaft gestandaardiseerde processen, volgt het certificaatgebruik en identificeert en verhelpt eventuele problemen snel.  

Conclusie

Concluderend spelen trust stores een cruciale rol bij het tot stand brengen van een veilige verbinding voor elke online interactie. Ze zijn als een beveiligde kluis die certificaten van geverifieerde bronnen (certificeringsinstanties) opslaat. Deze kluis wordt gebruikt om de identiteit van een website te verifiëren. Het proces is vergelijkbaar met een digitale handdruk met bevestigde referenties om een ​​veilige en versleutelde verbinding.

We moeten echter erkennen dat dit proces inherent complex is. De sterke afhankelijkheid van CA's creëert de mogelijkheid van een single point of failure. Bovendien kan het beheer van websleutels en certificaten complexiteit creëren en tot kwetsbaarheden leiden.

Bovendien moeten we, om deze uitdagingen het hoofd te bieden, CLM CertSecure kan helpen bij het beheer van deze certificaten en mogelijk de problemen met toezicht en complexiteit oplossen.

Hoe kan Encryption Consulting helpen? 

Encryption Consulting biedt gespecialiseerde diensten op maat om kwetsbaarheden te identificeren en risico's te beperken door: PKI-dienstenOnze strategische begeleiding stemt PKI-oplossingen af ​​op organisatiedoelstellingen, verbetert de efficiëntie en minimaliseert kosten. Door samen te werken met Encryption Consulting kunnen organisaties het volledige potentieel van PKI-oplossingen benutten en tastbare financiële voordelen realiseren, terwijl ze tegelijkertijd robuuste beveiligingsmaatregelen handhaven. 

Encryptie Consulting's PKIaaS biedt een flexibele en veilige PKI-oplossing, afgestemd op uw specifieke behoeften, met voordelen zoals aanpasbare opties, hoge betrouwbaarheidsnormen en een beheerde aanpak met een laag risico. PKIaaS automatiseert sleutel- en certificaatbeheer, waardoor de operationele overhead wordt verlaagd en het risico op menselijke fouten wordt geminimaliseerd. Bovendien verbetert het de netwerkzichtbaarheid door certificaten te vereisen voor toegang. Het zorgt voor de ontwikkeling van de PKI-infrastructuur om de PKI-omgeving (cloud/hybride of on-premises) van uw organisatie te beheren.

CertSecure Manager heeft een uitgebreide reeks functies voor levenscyclusbeheer. Van detectie en inventarisatie tot uitgifte, implementatie, verlenging, intrekking en rapportage. CertSecure biedt een allesomvattende oplossing. Intelligente rapportgeneratie, waarschuwingen, automatisering, automatische implementatie op servers en certificaatinschrijving voegen lagen van verfijning toe, waardoor het een veelzijdige en intelligente aanwinst wordt.