Wat is een SSL-certificaat? Hoe werkt SSL?

Digitale Identiteitskaarten

SSL/TLS-certificaten werken als digitale identiteitskaarten voor websites. Wanneer je een website bezoekt die beveiligd is met een SSL/TLS-certificaat, controleert je browser het certificaat om de identiteit van de site te verifiëren. Dit proces zorgt ervoor dat de website echt is en geen namaaksite is die probeert je informatie te stelen.

Wanneer je bijvoorbeeld een bankwebsite bezoekt zoals https://www.voorbeeldbank.com, controleert je browser het SSL/TLS-certificaat om te bevestigen dat de website eigendom is van en wordt beheerd door Voorbeeldbank. Dit helpt phishing-aanvallen te voorkomen waarbij kwaadwillenden nepwebsites maken om je te misleiden en je inloggegevens of andere gevoelige informatie te onthullen.

SSL/TLS-certificaten maken deel uit van een groter systeem dat de public key infrastructure (PKI) wordt genoemd. PKI biedt een raamwerk voor veilige communicatie door gebruik te maken van digitale certificaten en public-key-encryptie. In dit systeem geeft een vertrouwde derde partij, een certificate authority (CA) genaamd, SSL/TLS-certificaten uit aan websites nadat hun identiteit en eigendom zijn geverifieerd.

Belang van SSL-Certificaten

SSL/TLS-certificaten spelen een belangrijke rol in online beveiliging door:

1. Bescherming van privégegevens: SSL/TLS-certificaten maken versleuteling mogelijk van alle communicatie tussen je browser en de website. Dit betekent dat gevoelige informatie zoals wachtwoorden, creditcardnummers en persoonlijke gegevens worden beschermd tegen onderschepping door hackers of andere kwaadwillenden.

   Wanneer je bijvoorbeeld je creditcardgegevens invoert op een e-commercewebsite met een SSL/TLS-certificaat, worden de gegevens versleuteld voordat ze via internet worden verzonden. Zelfs als een hacker erin slaagt de gegevens te onderscheppen, zien ze alleen wartaal en kunnen ze het eigenlijke creditcardnummer niet ontcijferen.

2. Versterking van klantvertrouwen: Websites met SSL/TLS-certificaten tonen een slotpictogram in de adresbalk van de browser, wat wijst op een beveiligde verbinding. Deze visuele aanwijzing stelt je gerust dat je gegevens veilig zijn, waardoor je vertrouwen in de website toeneemt en je bereidheid om informatie te delen of aankopen te doen.

3. Ondersteuning van naleving van regelgeving: Veel sectoren, zoals e-commerce en gezondheidszorg, hebben regelgeving die vereist dat websites gebruikersgegevens beveiligen. De Payment Card Industry Data Security Standard (PCI DSS) schrijft bijvoorbeeld het gebruik van SSL/TLS-certificaten voor voor websites die creditcardtransacties verwerken.

   Andere regelgeving die SSL/TLS-certificaten kan vereisen:

   • Health Insurance Portability and Accountability Act (HIPAA) voor websites in de gezondheidszorg
   • General Data Protection Regulation (GDPR) voor websites die burgers van de Europese Unie bedienen
   • Federal Information Security Management Act (FISMA) voor websites van de Amerikaanse overheid

4. Verbetering van SEO: Zoekmachines zoals Google geven prioriteit aan websites die SSL/TLS-certificaten gebruiken, omdat ze deze als veiliger en betrouwbaarder beschouwen. Websites met SSL/TLS-certificaten scoren vaak hoger in zoekresultaten, wat mogelijk hun zichtbaarheid en verkeer verhoogt.

Versleuteling

Versleuteling is het proces waarbij gegevens zo worden vervormd dat alleen de ontvanger ze kan ontsleutelen. SSL/TLS-certificaten gebruiken public key cryptography, waarbij gebruik wordt gemaakt van een publieke sleutel en een privésleutel. De publieke sleutel wordt gedeeld, terwijl de privésleutel geheim wordt gehouden door de webserver. Wanneer een browser informatie naar de server wil verzenden, versleutelt deze de gegevens met behulp van de publieke sleutel van de server. Alleen de server kan de gegevens ontsleutelen met zijn privésleutel, waardoor de informatie veilig blijft, zelfs als deze wordt onderschept.

Hier is een voorbeeld van hoe versleuteling werkt:

1. Alice wil een bericht naar Bob sturen.
2. Bob deelt zijn publieke sleutel met Alice.
3. Alice versleutelt haar bericht met behulp van de publieke sleutel van Bob en stuurt het naar hem.
4. Bob gebruikt zijn privésleutel om het bericht te ontsleutelen.

Zelfs als iemand het versleutelde bericht onderschept, kan deze het niet lezen zonder de privésleutel van Bob.

Authenticatie

Authenticatie is het proces waarbij de identiteit van de webserver wordt geverifieerd. SSL/TLS-certificaten bevatten informatie over de website-eigenaar, zoals hun naam en adres. Deze informatie wordt geverifieerd door een vertrouwde derde partij, een certificate authority (CA) genaamd, voordat het certificaat wordt uitgegeven. Wanneer een browser verbinding maakt met een website met een SSL/TLS-certificaat, controleert deze de informatie van het certificaat om te zorgen dat de website is wie deze beweert te zijn.

Hier is een voorbeeld van hoe authenticatie werkt:

Als de informatie van het certificaat niet overeenkomt met de website, waarschuwt de browser Alice dat de site mogelijk niet betrouwbaar is.

Digitale Handtekeningen

Digitale handtekeningen zorgen ervoor dat het certificaat niet is gewijzigd. Wanneer een CA een SSL/TLS-certificaat uitgeeft, ondertekent deze het certificaat met zijn eigen privésleutel, waardoor een unieke digitale handtekening wordt gecreëerd. Wanneer een browser het certificaat ontvangt, verifieert deze de digitale handtekening met behulp van de publieke sleutel van de CA. Als de handtekening niet overeenkomt, weet de browser dat het certificaat is gewijzigd en waarschuwt deze de gebruiker.

Hier is een voorbeeld van hoe digitale handtekeningen werken:

1. De CA maakt een hash van de inhoud van het certificaat.
2. De CA versleutelt de hash met zijn privésleutel, waardoor een digitale handtekening wordt gecreëerd.
3. De digitale handtekening wordt aan het certificaat toegevoegd.
4. Wanneer een browser het certificaat ontvangt, maakt deze zijn eigen hash van de inhoud.
5. De browser ontsleutelt de digitale handtekening met behulp van de publieke sleutel van de CA en vergelijkt deze met de hash die hij heeft gemaakt.
6. Als de hashes overeenkomen, weet de browser dat het certificaat geldig is.

SSL-Handshake-Proces

Het SSL/TLS-handshake-proces stelt een beveiligde verbinding in tussen een webbrowser en een server. Het proces begint wanneer de browser verbinding maakt met de webserver en om informatie vraagt. De server reageert door zijn SSL/TLS-certificaat te verzenden, dat de publieke sleutel van de server bevat.

De browser verifieert het certificaat door de informatie en digitale handtekening te controleren. Als het certificaat geldig is, genereert de browser een willekeurige sessiesleutel en versleutelt deze met behulp van de publieke sleutel van de server. De browser stuurt de versleutelde sessiesleutel naar de server.

De server ontsleutelt de sessiesleutel met behulp van zijn privésleutel en stuurt een bevestiging naar de browser. Zowel de browser als de server hebben nu dezelfde sessiesleutel, die ze gebruiken om alle communicatie te versleutelen en te ontsleutelen. Dit zorgt ervoor dat alle gegevens die tussen de browser en de server worden uitgewisseld, veilig blijven.

Hier is een overzicht van het SSL/TLS-handshake-proces:

SSL/TLS-certificaten helpen websites gevoelige informatie te beschermen en de privacy van de gegevens van hun gebruikers te waarborgen. SSL/TLS wordt gebruikt door veel websites, waaronder online winkels, banken en sociale mediaplatforms, om gebruikersinformatie zoals wachtwoorden, creditcardnummers en persoonlijke gegevens te beveiligen. Door een SSL/TLS-certificaat te gebruiken, kunnen websites een beveiligde verbinding tot stand brengen en gegevens die tussen de webbrowser en de server worden verzonden, versleutelen, waardoor online transacties veiliger worden.

Validatieniveaus

SSL/TLS-certificaten worden ingedeeld in drie validatieniveaus:

1. Extended Validation (EV): EV SSL/TLS-certificaten bieden het hoogste niveau van versleuteling en validatie. Ze worden vaak gebruikt door websites die gevoelige gegevens verwerken, zoals financiële instellingen en e-commerceplatforms. Om een EV-certificaat te verkrijgen, moet de aanvrager een streng verificatieproces doorlopen, dat het bewijzen van hun juridische identiteit en bedrijfsregistratie omvat. EV-certificaten tonen de bedrijfsnaam in de adresbalk van de browser, wat visuele zekerheid biedt aan gebruikers.

   Wanneer je bijvoorbeeld een bankwebsite bezoekt zoals Bank of America (https://www.bankofamerica.com/), zie je de naam van de bank in de adresbalk, wat aangeeft dat de website een EV SSL/TLS-certificaat gebruikt.

2. Organization Validation (OV): OV SSL/TLS-certificaten bieden een gemiddeld validatieniveau. Ze zijn geschikt voor bedrijven en organisaties die hun identiteit en domeineigendom willen bewijzen. Om een OV-certificaat te verkrijgen, moet de aanvrager bewijs leveren van de identiteit van hun organisatie en controle over het domein aantonen. OV-certificaten tonen de bedrijfsnaam in de certificaatdetails, die gebruikers kunnen bekijken.

   Een voorbeeld van een website die een OV SSL/TLS-certificaat gebruikt, is de University of California, Berkeley (https://www.berkeley.edu/). Wanneer je de certificaatdetails bekijkt, zie je de naam van de universiteit vermeld als de organisatie.

3. Domain Validation (DV): DV SSL/TLS-certificaten hebben het laagste validatieniveau. Ze verifiëren alleen dat de aanvrager controle heeft over de domeinnaam, zonder aanvullende controles op hun identiteit of bedrijf. DV-certificaten worden vaak gebruikt voor blogs, persoonlijke websites of niet-commerciële projecten. Ze zijn het gemakkelijkst en snelst te verkrijgen, maar ze tonen geen bedrijfsinformatie in de certificaatdetails.

   Een persoonlijke blog of een kleine bedrijfswebsite, zoals een lokale coffeeshop, zou een DV SSL/TLS-certificaat kunnen gebruiken om hun website te beveiligen zonder de noodzaak van uitgebreide validatie.

Hier is een vergelijkingstabel van de drie validatieniveaus:

Domeintypes

SSL/TLS-certificaten verschillen ook op basis van het aantal en type domeinen die ze beschermen:

1. Single Domain: Een single domain SSL/TLS-certificaat beveiligt één specifiek domein of subdomein. Een single domain-certificaat kan bijvoorbeeld www.voorbeeld.com of blog.voorbeeld.com beschermen, maar niet beide tegelijk. Dit type certificaat is geschikt voor websites met een enkele domeinnaam.

   Een klein bedrijf met een enkele website, zoals een restaurant of een lokale dienstverlener, zou een single domain SSL/TLS-certificaat kunnen gebruiken om hun website te beveiligen.

2. Wildcard: Een wildcard SSL/TLS-certificaat beveiligt een domein en al zijn subdomeinen op het eerste niveau. Een wildcard-certificaat voor *.voorbeeld.com kan bijvoorbeeld www.voorbeeld.com, blog.voorbeeld.com en shop.voorbeeld.com beschermen. Wildcard-certificaten zijn kosteneffectief voor websites met meerdere subdomeinen onder dezelfde domeinnaam.

   Een bedrijf met meerdere afdelingen of diensten, zoals een universiteit met verschillende faculteiten en faciliteiten (bijv. kunst.universiteit.nl, wetenschap.universiteit.nl, bibliotheek.universiteit.nl), zou kunnen profiteren van het gebruik van een wildcard SSL/TLS-certificaat.

3. Multi-Domain (ook bekend als Subject Alternative Name of SAN): Een multi-domain SSL/TLS-certificaat stelt je in staat om meerdere domeinen of subdomeinen te beveiligen met een enkel certificaat. Een multi-domain-certificaat kan bijvoorbeeld www.voorbeeld.com, www.voorbeeld.net en blog.voorbeeld.com beschermen. Dit type certificaat is handig voor organisaties met meerdere websites of subdomeinen die SSL/TLS-bescherming nodig hebben.

   Een bedrijf dat verschillende merken bezit of actief is in verschillende landen met gelokaliseerde domeinnamen (bijv. www.merk.com, www.merk.co.uk, www.merk.de) zou een multi-domain SSL/TLS-certificaat kunnen gebruiken om al hun websites met een enkel certificaat te beveiligen.

Hier is een vergelijkingstabel van de drie domeintypes:

Bekende Certificate Authorities

Wanneer je een website bezoekt zoals https://www.voorbeeld.com, controleert je browser het SSL/TLS-certificaat en traceert het terug naar de uitgevende CA. Als de CA wordt vertrouwd en het certificaat geldig is, maakt je browser een beveiligde verbinding met de website.

Geldigheidsduur van Certificaten

SSL/TLS-certificaten hebben een beperkte geldigheidsduur om beveiligingsrisico's te verminderen. Het CA/Browser Forum heeft de maximale geldigheidsduur geleidelijk verkort om de beveiliging te verbeteren.

Kortere geldigheidsduren helpen het risico te verminderen van:

• Misbruik van gecompromitteerde of gestolen certificaten
• Verouderde versleutelingsmethoden die lange tijd worden gebruikt
• Ongeautoriseerde domeinoverdrachten of eigendomswijzigingen

Website-eigenaren moeten hun SSL/TLS-certificaten vernieuwen voordat ze verlopen om beveiligde verbindingen te behouden. Het niet vernieuwen van een certificaat voor de vervaldatum kan leiden tot:

• Browserwaarschuwingen die aangeven dat de website niet veilig is
• Verlies van gebruikersvertrouwen en mogelijk zakelijk verlies
• Lagere posities in zoekmachines, omdat zoekmachines de website als onveilig kunnen markeren

Best Practices voor Certificaatbeheer

Om ononderbroken beveiliging te behouden, moeten website-eigenaren:

• De vervaldata van hun SSL/TLS-certificaten monitoren
• Herinneringen instellen om certificaten ruim voor het verstrijken te vernieuwen
• Geautomatiseerde certificaatbeheertools gebruiken om het vernieuwingsproces te vereenvoudigen

Als je bijvoorbeeld een e-commercewebsite hebt die gevoelige klantinformatie verwerkt, moet je ervoor zorgen dat je SSL/TLS-certificaat altijd geldig is om vertrouwen te behouden en transacties te beveiligen. Je kunt een certificaatmonitoringtool gebruiken die je herinneringen stuurt 30 dagen, 15 dagen en 7 dagen voordat je certificaat verloopt, waardoor je voldoende tijd hebt om het te vernieuwen zonder de beveiliging van je website te onderbreken.