X.509-certificeringen voor bescherming tegen kwaadaardige netwerkimitators

Een X.509-certificaat is een digitaal certificaat dat het formaat van Public Key Infrastructure (PKI)-certificaten definieert en bescherming biedt tegen kwaadwillende netwerkimitators. Man-in-the-middle-aanvallen kunnen eenvoudig worden uitgevoerd zonder x.509-authenticatie.

Het wordt veel gebruikt voor veel internetprotocollen (IP), waaronder SSL/TLS-verbindingen Veilige protocollen voor het surfen op het web. Een X.509-certificaat, dat is ondertekend door een vertrouwde certificeringsinstantie of zelfondertekend is, bevat een publieke sleutel en de identificatie van een hostnaam, bedrijf of persoon. Het wordt ook gebruikt in offline toepassingen zoals elektronische handtekeningen.

X. 509 definieert ook een certificaatintrekkingslijst. Dit is een manier om informatie te verspreiden over certificaten die ongeldig zijn verklaard door een ondertekenende instantie en door een algoritme voor de validatie van het certificatiepad.

Wat is een certificaat?

Een digitaal certificaat is in feite een bestand of een gecodeerd wachtwoord dat de authenticiteit van een apparaat, server of gebruiker bevestigt door gebruik te maken van PKI en cryptografie.

Organisaties kunnen digitale certificaatauthenticatie gebruiken om ervoor te zorgen dat alleen betrouwbare apparaten en gebruikers verbinding kunnen maken met hun netwerken. Een andere veelvoorkomende toepassing voor digitale certificaten is het verifiëren van de legitimiteit van een website voor een webbrowser, vaak bekend als een Secure Sockets Layer of SSL-certificaat.

Een digitaal certificaat bevat identificerende informatie, zoals de identiteit, het bedrijf of de afdeling van een gebruiker, evenals het IP-adres of het serienummer van een apparaat. Digitale certificaten bevatten een kopie van de openbare sleutel van de certificaathouder, die moet worden gekoppeld aan een bijbehorende privésleutel om geldig te zijn.

Waarom X.509-certificaten gebruiken?

X.509-certificaten hebben verschillende nuttige eigenschappen die wachtwoorden niet hebben. Ze blijken voordelen te hebben ten opzichte van normale wachtwoorden.

• Ze zijn phishingbestendig; in tegenstelling tot een wachtwoord, waarvoor de server het wachtwoord in platte tekst moet verkrijgen om u te verifiëren, authenticeert een X.509-certificaat u door middel van een validatiealgoritme voor het certificatiepad, waarbij certificaten worden ondertekend met tussenliggende CA-certificaten. Een phishingsite ontvangt een wachtwoord dat vervolgens op de echte website kan worden gebruikt; X.509-authenticatie voorziet de website slechts van één handtekening van het certificaat en niet van de geheime sleutel die nodig is om u te misleiden.
• Als ze op andere sites worden hergebruikt, vormen ze geen risico. Als u het wachtwoord van uw organisatie op een andere website gebruikt, kan die website het wachtwoord verzamelen of inefficiënt opslaan, waardoor het bij een hack kan worden gestolen. Als u hetzelfde certificaat voor meerdere sites gebruikt, hoeft u niet afhankelijk te zijn van al deze sites om uw inloggegevens te beveiligen (als u hetzelfde wachtwoord op meerdere locaties gebruikt en een van hen er slecht mee omgaat, is het voor alle sites zichtbaar).
• Normaal gesproken ontvangt u voor elke browser of elk apparaat dat u bezit een afzonderlijk certificaat. Dit betekent dat het bedrijf bij verlies van het apparaat mogelijk één certificaat intrekt in plaats van alle certificaten.
• Evenmin is er een kans dat iemand meekijkt of zijn wachtwoord aan collega's prijsgeeft. Een gebruiker zou de privésleutel kunnen exporteren, hoewel de kans veel kleiner is dan dat iemand zijn wachtwoord aan iemand anders prijsgeeft.
• Ze bieden tweefactorauthenticatie wanneer ze in combinatie met een wachtwoord worden gebruikt ('iets wat je weet' is een wachtwoord en 'iets wat je hebt' is een certificaat)

Hoe werken X.509-certificaten?

Abstract Syntax Notation One (ASN.1) vormt de basis voor X.509-standaarden. Met behulp van ASN gebruikt het X.509-certificaatformaat een gerelateerd openbaar en privésleutelpaar om een ​​bericht te versleutelen en te ontsleutelen.

De CA geeft een X.509-certificaat uit aan een entiteit, en dat certificaat is eraan gekoppeld als een foto-ID-badge. In tegenstelling tot onveilige wachtwoorden kunnen ze niet verloren gaan of gestolen worden. Door de badge-analogie te gebruiken, kunt u zich gemakkelijk voorstellen hoe authenticatie werkt: het certificaat wordt als een ID 'geflitst' bij de bron die authenticatie vereist.

PKI-basisprincipes

Een PKI bevat een reeks willekeurig gegenereerde getallen die gebruikt kunnen worden om een ​​bericht te versleutelen. Alleen de geselecteerde ontvanger kan dit versleutelde bericht ontsleutelen en lezen, en het kan alleen ontcijferd en gelezen worden met behulp van de bijbehorende privésleutel, die eveneens bestaat uit een lange reeks willekeurige getallen.

Deze privésleutel blijft privé en is alleen bekend bij de ontvanger. Omdat de openbare sleutel voor iedereen zichtbaar is, wordt een complex cryptografisch algoritme gebruikt dat willekeurige numerieke combinaties van verschillende lengtes genereert om een ​​openbare sleutel te creëren en deze te koppelen aan een bijbehorende privésleutel.

Hieronder staan ​​de meest gebruikte algoritmen voor het genereren van openbare sleutels:

• Rivest–Shamir–Adleman (RSA)
• Digitaal handtekeningalgoritme (DSA)
• Elliptische curve-cryptografie (ECC)

Kenmerken van het X.509-certificaat

Elk certificaat heeft verschillende kenmerken en velden die informatie bevatten over de gebruiker, de uitgever en de cryptografische parameters van het certificaat zelf.

• Versie

  De X.509-versie is gekoppeld aan het certificaat.

• Serienummer

  Het unieke serienummer dat door de CA aan elk uitgegeven certificaat wordt toegewezen.

• Algoritme-informatie

  Het cryptografische algoritme, of een privésleutelalgoritme, is meestal RSA 2048.

• Naam van de uitgever

  De naam van de uitgevende CA

• Geldigheidsduur

  De periode waarin het certificaat geldig blijft.

• Onderwerp DN-naam

  De naam van het apparaat waarvoor het certificaat wordt uitgegeven.

• Onderwerp openbare sleutelinformatie

  De openbare sleutel die aan de identiteit gekoppeld is.

Veelvoorkomende toepassingen van X.509-certificaten

Veel IP's zijn afhankelijk van X.509 en PKI-technologie wordt dagelijks in uiteenlopende toepassingen gebruikt, waaronder webserverbeveiliging, digitale handtekeningen, documentondertekening en digitale identiteiten.

Webserverbeveiliging met TLS/SSL-certificaten

PKI vormt de basis voor de Secure Sockets Layer (SSL) en Transport Layer Security (TLS) protocollen, die de basis vormen voor beveiligde HTTPS-browserverbindingen. Zonder SSL-certificaten of TLS om beveiligde verbindingen te creëren, kunnen aanvallers communicatie onderscheppen en de inhoud ervan lezen via internet of andere IP-netwerken met behulp van diverse aanvalsmethoden, zoals man-in-the-middle-aanvallen.

Digitale handtekeningen en documentondertekening

PKI-gebaseerde certificaten kunnen worden gebruikt voor digitale handtekeningen en het ondertekenen van documenten, maar ook voor het beveiligen van berichten.

Digitale handtekeningen zijn een soort elektronische handtekening die PKI gebruikt om de identiteit van de ondertekenaar, de integriteit van de handtekening en het document te valideren. Omdat digitale handtekeningen worden gegenereerd door een hash te produceren, die wordt gecodeerd met de privésleutel van de afzender, kunnen ze op geen enkele manier worden gemanipuleerd of gereproduceerd.

Deze cryptografische verificatie koppelt de handtekening op wiskundige wijze aan het oorspronkelijke bericht om te verifiëren dat de afzender is geverifieerd en dat het bericht niet is gewijzigd.

Code ondertekening

Met codeondertekening kunnen applicatieontwikkelaars een extra beveiligingslaag creëren door apps, drivers en softwareprogramma's digitaal te ondertekenen. Zo kunnen eindgebruikers verifiëren dat de code die ze ontvangen niet is gewijzigd of gecompromitteerd door derden. Deze digitale certificaten bevatten de handtekening van de softwareontwikkelaar, de bedrijfsnaam en een tijdstempel om te garanderen dat de code veilig en betrouwbaar is.

Clientverificatie

Clientcertificaatverificatie is een wederzijdse, op certificaten gebaseerde verificatie waarbij gebruikers digitale certificaten die voldoen aan de X.509-standaarden aan de servers verstrekken als onderdeel van de TLS-protocolhandshake om hun identiteit te bewijzen. Dit wordt ook wel wederzijdse of tweerichtings-TLS-verificatie genoemd.

De belangrijkste rol van TLS op internet is het ondersteunen van encryptie en vertrouwen, waardoor een webbrowser de authenticiteit van een website kan valideren. Het protocol werkt echter ook andersom, waarbij X.509-clientcertificaten worden gebruikt om een ​​client bij de webserver te verifiëren.

X.509-certificaten beheren

Een van de belangrijkste componenten van X.509-certificaten is hun effectieve beheer op schaal door middel van automatisering. Bedrijven die niet over de juiste mensen, procedures en technologie beschikken, stellen zich bloot aan beveiligingsinbreuken, uitval, merkschade en storingen in de kritieke infrastructuur.

Conclusie

X.509-certificaten zijn essentieel voor het opbouwen en behouden van digitaal vertrouwen in de digitale wereld. Als deze certificaten niet effectief worden beheerd, lopen bedrijven het risico op inbreuken en mislukte audits.

Neem contact op met Encryption Consulting om een ​​lijst te maken van uw huidige mogelijkheden voor X.509-certificaatbeheer en bepaal of een nieuwe oplossing nodig is om de voortdurende groei van uw digitale certificaten bij te benen.