Implementatieplan 'Vervangen certificaten voor Digikoppeling ...

Implementatieplan ‘Vervangen certificaten
voor Digikoppeling’
Versie 1.4
Datum 9 september 2011
Status Definitief

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
Colofon
Projectnaam
Versienummer 1.4
Contactpersoon Servicecentrum Logius
Organisatie Logius
Postbus 96810
2509 JE Den Haag
servicecentrum@logius.nl
Bijlage(n) -
Documentbeheer
Datum
Versie
4 september 1
7 september 1.1
7 september 1.2
7 september 1.3
9 september 1.4
Pagina 2 van 12

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
Inhoud
Inhoudsopgave
Colofon .......................................................................................... 2
Inhoud ........................................................................................... 3
Inleiding ........................................................................................ 4
1.1 Achtergrond en overzicht van het probleem ............................. 4
1.2 Scenario’s ........................................................................... 5
1.3 Certificaten en CPA’s ............................................................ 7
2 Stappenplan: vervangen van certificaten (en CPA) .................. 8
2.1 Stappenplan voor service providers ........................................ 8
2.2 Stappenplan voor service consumers ..................................... 10
Pagina 3 van 12

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
Inleiding
Dit document heeft tot doel om partijen een helder beeld te geven van de
activiteiten die zij moeten uitvoeren om gecompromitteerde certificaten te
vervangen waar deze certificaten worden gebruikt voor de beveiliging van
elektronisch berichtenverkeer dat is ingericht op basis van Digikoppeling
(Digikoppeling Koppelvlakstandaarden WUS en ebMS).
1.1 Achtergrond en overzicht van het probleem
Digikoppeling omvat de standaarden voor elektronisch berichtenverkeer
tussen overheden (Koppelvlakstandaarden) alsmede een aantal producten
die helpen bij het implementeren van dit berichtenverkeer (Service
Register, Compliancyvoorziening WUS, Compliancyvoorziening ebMS en
CPA-Creatievoorziening).
Inmiddels zijn er een aantal diensten waarbij berichtenverkeer is ingericht
op basis van Digikoppeling. Hieronder vallen producten die Logius in
beheer heeft (waaronder Digimelding, Inspectieview en Digipoort), maar
er zijn ook organisaties die onderling berichtenverkeer hebben geregeld
die buiten het directe blikveld van Logius vallen (denk hierbij aan
berichtenverkeer tussen overheidsinstanties enerzijds en een aantal
basisregistraties, Omgevingsloket Online en/of MijnOverheid anderzijds).
Beveiliging is onder Digikoppeling in de eerste plaats ingericht middels
transportbeveiliging ( Transport Level Security - TLS versie1.0 of, in
oudere situaties, SSL versie 3.0) en tweezijdige authenticatie. Daarnaast
biedt Digikoppeling vanaf Digikoppeling 2.0 de mogelijkheid om ook de
berichten zelf te beveiligen middels digitale ondertekening en/of
versleuteling van het bericht (Message Level Security, MLS). Voor zowel
TLS als MLS wordt gebruik gemaakt van PKIoverheid-certificaten. Deze
certificaten spelen een cruciale rol bij wederzijdse authenticatie van de
respectievelijke partijen en mogelijk dus ook bij het ondertekenen en/of
versleutelen van de berichten die tussen hen worden uitgewisseld.
In het geval van berichtenverkeer op basis van Digikoppeling beschikken
dus beide partijen die bij gegevensuitwisseling zijn betrokken over digitale
certificaten. Overigens kan er ook sprake zijn van gegevensuitwisseling in
een keten. Dit zien we bijvoorbeeld in die gevallen waar berichtenverkeer
loopt van de ene partij naar een andere via een intermediaire voorziening.
Digimelding en Digipoort zijn hier voorbeelden van.
In die gevallen waarbij certificaten zijn verstrekt door Diginotar, zullen de
certificaten op korte termijn moeten worden vervangen. Het is overigens
niet noodzakelijk dat beide partijen gebruik maken van certificaten die
door een en dezelfde leverancier (Certificate Service Provider, CSP) zijn
geleverd. Partij A kan gebruik maken van een door Diginotar verstrekt
PKIoverheid-certificaat, terwijl partij B gebruik maakt van een
PKIoverheid-certificaat dat door een andere CSP is verstrekt. Het
vervangen van een certificaat door partij A zal soms ook impact hebben
op de inrichting van de infrastructuur van partij B. Partij B zal namelijk
vaak expliciet het certificaat van partij A gebruiken om deze al of niet te
authenticeren (wie is het?) en autoriseren (wat mag hij/zij?).
Pagina 4 van 12

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
Authenticeren en autoriseren werkt anders voor de beide standaarden,
WUS en ebMS, waar Digikoppeling op is gebaseerd. WUS wordt gebruikt
bij bevragingen waar snelheid cruciaal is en betrouwbaarheid hieraan
ondergeschikt. EbMS wordt gebruikt bij meldingen waar betrouwbaarheid
essentieel is en snelheid belangrijk maar wel hieraan ondergeschikt.
WUS wisselt certificaten automatisch uit in die gevallen waarin deze
gebruikt worden voor TLS (of SSL) en digitale ondertekening (signing) van
berichten. Bij encryptie van berichten is dit niet het geval, maar er is nog
geen overheidspartij die dit toepast (voor zover bekend). Het is daarom
mogelijk dat certificaten alleen vervangen worden door de eigenaar van
het certificaat, maar in een aantal gevallen is ook afgeweken van deze
ideale implementatie. Het is daarom verstandig om ook de andere
partij(en) het gewijzigde certificaat te verstrekken.
EbMS wisselt certificaten niet automatisch uit. Deze certificaten zijn
opgenomen in de CPA waarmee berichtenverkeer geconfigureerd wordt.
Het is bij ebMS daarom altijd nodig om met de nieuwe certificaten ook een
nieuwe CPA aan te maken en deze tussen de beide communicatiepartners
uit te wisselen.
1.2 Scenario’s
Denkbare scenario’s voor situaties waarbij partij A rechtstreeks
communiceert met partij B (i.e. rechtstreeks berichtenverkeer zonder
tussenkomst van een intermediair):
1. Partijen A en B maken beide gebruik van Diginotar-certificaten.
Beide partijen moeten Diginotar-certificaten vervangen en ervoor
zorgen dat:
a. zij het eigen certificaat opnemen in de eigen keystore en
toepassen in plaats van het Diginotar-certificaat (WUS-TLS);
b. zij het eigen certificaat opnemen in de Digikoppeling-adapter
en toepassen in plaats van het Diginotar-certificaat (WUSsigning);
c. zij gezamenlijk met de andere partij een nieuwe CPA maken
waarin de nieuwe certificaten van beide partijen zijn
opgenomen en deze CPA importeren in hun Digikoppelingadapter
(ebMS – zie voor meer informatie paragraaf 1.3) 1 .
1
Niet elke leverancier van Digikoppeling-adapters ondersteunt het importeren van CPA’s. In dat
geval zal configuratie van de Digikoppeling-adapter en eventuele keystore en truststore moeten
plaatsvinden. Overleg hierover met uw leverancier.
Pagina 5 van 12

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
d. het eigen certificaat en diens hiërarchie (dus ook het
certificaat van de nieuwe CSP 2 ) ter beschikking stellen aan de
andere partij zodat deze dit, indien nodig, kan toevoegen in de
truststore ter vervanging van het ‘niet meer vertrouwde’
certificaat. N.B. Bij een ideale implementatie van Digikoppeling
is deze actie niet nodig omdat partijen certificaten vertrouwen
op basis van o.a. een geldige root en niet het individuele
certificaat; niet elke partij werkt echter al zo in de praktijk;
e. expliciet controle plaatsvindt dat het Diginotar-certificaat niet
meer vertrouwd wordt.
2. Partij A maakt gebruik van een Diginotar-certificaat, partij B niet.
Partij A vervangt diens certificaat en:
a. neemt het eigen certificaat op in de eigen keystore en past dit
toe in plaats van het Diginotar-certificaat (WUS-TLS);
b. neemt het eigen certificaat op in de Digikoppeling-adapter en
past dit toe in plaats van het Diginotar-certificaat (WUSsigning);
c. maakt (gezamenlijk met de andere partij) een nieuwe CPA
waarin het nieuwe certificaat (naast de oude certificaten van
de andere partij) is opgenomen. Zowel partij A als partij B
importeren de nieuwe CPA in hun Digikoppeling-adapter
(ebMS) 3 .
d. stelt het eigen certificaat en diens hiërarchie ter beschikking
aan de andere partij zodat deze dit, indien nodig, kan
toevoegen in de truststore ter vervanging van het ‘niet meer
vertrouwde’ certificaat. N.B. Bij een ideale implementatie van
Digikoppeling is deze actie niet nodig omdat partijen
certificaten vertrouwen op basis van o.a. een geldige
PKIoverheid-root en niet het individuele certificaat; niet elke
partij werkt echter al zo in de praktijk;
e. zorgt ervoor dat er expliciet controle plaatsvindt dat het
Diginotar-certificaat niet meer vertrouwd wordt.
3. Noch partij A, noch partij B maakt gebruik van een Diginotarcertificaat:
geen impact.
2
3
Voor beide partijen moet gelden dat het nieuwe certificaat kan worden geverifieerd tegen de
bijbehorende ‘trust chain’: Staat der Nederlanden Root CA – Staat der Nederlanden Overheid CA -
CSP domeincertificaat – domeincertificaat
Niet elke leverancier van Digikoppeling-adapters ondersteunt het importeren van CPA’s. In dat
geval zal configuratie van de Digikoppeling-adapter en eventuele keystore en truststore moeten
plaatsvinden. Overleg hierover met uw leverancier.
Pagina 6 van 12

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
Denkbare scenario’s voor situaties waarbij partij A communiceert met
partij B via een intermediair (waarbij ervan wordt uitgegaan dat zowel A
als B berichten uitwisselen met de intermediair op basis van
Digikoppeling):
4. Indien de intermediair gebruik maakt van Diginotar-certificaten:
De situatie waarbij een intermediair berichten inclusief headers
ongewijzigd laat (en dus alleen de TLS-tunnel termineert) komt in
de huidige praktijk niet voor. Deze situatie is daarom niet
uitgewerkt.
In de regel geldt dat de inrichting tussen partij A en intermediair
onafhankelijk kan plaatsvinden van de inrichting tussen partij B en
intermediair. Zie hiervoor de scenario’s 1 t/m 3.
1.3 Certificaten en CPA’s
Koppelvlakstandaard ebMS wordt gebruikt voor asynchroon
berichtenverkeer, ook wel ‘Meldingen’ genoemd. In het geval van ebMS
moeten mogelijk niet alleen certificaten worden vervangen maar (indien
certificaten worden vervangen) ook de CPA-bestanden op basis waarvan
het ebMS-berichtenverkeer is ingericht. In de meeste gevallen zal de
certificaatinformatie (public keys) namelijk zijn opgenomen in de CPA 4 . De
CPA is een bestand dat door beide communicatiepartners moet worden
geïmporteerd in de ebMS-adapter (de softwarecomponent die zorgt voor
de ebMS-verbinding). In veel gevallen moeten publieke delen van
certificaten (en hiërarchie) overigens ook expliciet in de adapter (of op het
platform waarop de adapter draait) worden geïmporteerd.
Een CPA kan pas worden vervangen nadat de gegevens van het nieuwe
certificaat/de nieuwe certificaten in het vervangende CPA-bestand zijn
opgenomen.
4 Een uitzondering geldt voor situaties waarin niet de ebMS-adapter verantwoordelijk is voor initiëren
en termineren van SSL/TLS-sessies. In dit geval spreken we van TLS-offloading.
Certificaatinformatie wordt door de partij met TLS/SSL-offloading weer verwijderd uit de CPA. Meer
informatie hierover is te vinden op
https://wiki.noiv.nl/xwiki/bin/view/Stelselhandboek/Digikoppeling_Certificaten
Pagina 7 van 12

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
2 Stappenplan: vervangen van certificaten (en CPA)
Binnen Digikoppeling worden certificaten gebruikt om elektronisch
berichtenverkeer tussen overheidspartijen te beveiligen. Deze berichten
worden uitgewisseld met behulp van ‘webservices’ die conform
Koppelvlakstandaard WUS of ebMS zijn ingericht. Een partij die zo’n
service aanbiedt wordt service provider genoemd. Een partij die van deze
service gebruik maakt, noemen we service requester of service consumer.
Voor provider en consumer zijn de stappen voor het vervangen van een
certificaat goeddeels identiek. In de regel zal echter de provider hierbij het
initiatief nemen; dit ontslaat de consumer uiteraard niet van de plicht om
diens eigen beveiliging actief te beheren.
2.1 Stappenplan voor service providers
Voor partijen die elektronische services aanbieden:
1. Neem contact op met alle bekende afnemers (consumers) en
breng hen op de hoogte van de aanstaande certificaatwijziging.
Vraag bij de afnemer na of deze zelf al dan niet gebruik maakt
van gecompromitteerde certificaten binnen diens Digikoppelingimplementatie.
Opmerking: certificaten worden gebruikt voor transportbeveiliging
(2-zijdige authenticatie) maar mogelijk ook voor berichtbeveiliging
(digitale ondertekening en/of versleuteling). Controleer bij de
inventarisatie van certificaten of dat voor uw implementatie het
geval is. Is dat het geval, neem dan ook de voor berichtbeveiliging
gebruikte certificaten mee in het vervangingsproces;
2. Indien u geen overeenkomst met een andere certificaatleverancier
(Certificate Service Provider, CSP) heeft, kies dan een van de
leveranciers voor services-certificaten zoals te vinden op
http://www.logius.nl/producten/toegang/pkioverheid/vervangencertificaten/
en meldt u dan aan bij deze leverancier:
Lever bewijs dat uw organisatie een
(overheids)organisatie is, zoals een wet, oprichtingsakte of
een uittreksel uit het Handelsregister.
Lever als overheidsorganisatie, indien van toepassing, uw
OIN;
Lever bewijs van bevoegdheid (benoemings- of
aanstellingsbesluit) van de vertegenwoordiger
(bijvoorbeeld een minister, burgemeester of directeur);
Lever een kopie van een geldig identificatiebewijs van uw
bevoegd vertegenwoordiger;
3. Vraag voor elk van uw huidige Diginotar-certificaten een nieuwe
certificaat aan bij uw nieuwe CSP. Voor elk nieuw certificaat:
moet een nieuwe RSA-sleutel van 2048 bits worden
gegenereerd
moet, in overleg met Logius, een keuze worden gemaakt
uit:
i. SHA-1 met RSA-2048 en een einde geldigheid van
31-12-2011, of
Pagina 8 van 12

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
ii. SHA-256 met RSA-2048 en een maximale
geldigheid van 3 jaar;
moet een CSR gegenereerd worden met het gekozen
algoritme (SHA1WithRSAencryption of
SHA256WithRSAencryption);
moet de CSR bij de CSP worden ingediend.
Opmerking: aan de CSP kan worden gevraagd het nieuwe
certificaat op te leveren als .p7b-bestand in plaats van
.cer-bestand. Het .p7b-formaat bevat tevens de bij de
nieuwe CSP behorende certificaathiërarchie;;
4. Sluit een nieuwe overeenkomst met de afzonderlijke service
consumers en zorg ervoor dat binnen deze overeenkomst de
public keys (.cer-bestanden) worden uitgewisseld.
Opmerking: het initiatief voor deze overeenkomst ligt normaliter
bij de service consumer. Logius adviseert om voor deze
overeenkomst gebruik te maken van een consumption request via
het Digikoppeling Service Register. Overeenkomstgegevens en
bijbehorende (publieke) certificaatgegevens worden daarmee
geborgd in het Register; u heeft daardoor in de toekomst een
overzicht van alle partijen waarmee koppelingen bestaan;
5. In geval van een koppeling op basis van ebMS: genereer een
nieuwe CPA (in de regel wordt deze gemaakt door de consumer)
en valideer deze CPA (let er met name op dat hierin de juiste
certificaatinfo is opgenomen).
Opmerking: de CPA hoeft niet te worden aangepast indien de
infrastructuur (bij beide partijen) is ingericht op basis van TLS (of
SSL)-offloading (of andere gevallen waarbij TLS / SSL-afhandeling
niet in de Digikoppeling-adapter is ondergebracht).
Logius adviseert om de nieuwe CPA door de consumer te laten
opnemen in het consumption request dat deze aan de provider
richt; u heeft daardoor in de toekomst een overzicht van alle
partijen waarmee koppelingen bestaan;
6. Stel in overleg met de consumer(s) een plan op voor het
vervangen van de certificaten en (mogelijk) CPA. Let hierbij vooral
op:
Afstemming met alle betrokken afnemende partijen
(consumers) en prioritering per partij (vervanging zal per
individuele consumer moeten worden afgestemd) 5 ;
Een geschikte datum/ tijdstip voor beide partijen;
Een geschikte testprocedure;
7. Pas aan beide zijden certificaten (keystores, truststore) en, indien
relevant, CPA aan (upgrade adapter).
5 Aanpassen van het certificaat (en CPA) moet in het geval van ebMS voor alle aangesloten partijen
tegelijk plaatsvinden. Zodra certificaat en/of CPA door de ene partner is aangepast, werkt de ebMSverbinding
namelijk niet meer voor de aangesloten partijen. Zij zullen aan hun kant
certificatestores en CPA zo snel mogelijk up-to-date moeten brengen. Partijen die een TLS/SSLoffloader
gebruiken, hoeven in de regel niets te ondernemen, mits:
1. het CPA-ID gelijk blijft;
2. zij certificaten niet individueel in de truststore van de offloader hebben opgenomen;
3. er behalve het certificaat niets wijzigt.
Pagina 9 van 12

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
Opmerkingen:
Niet in alle gevallen is het noodzakelijk om het certificaat
van de communicatiepartner lokaal te installeren (maar
veelal wordt dit wel vereist door de adapter of het
onderliggende platform);
Let erop dat ook het CSP-certificaat/certificaten worden
vervangen in de gebruikte certificaathiërarchie (in de regel
zal het nog gaan om G1-certificaten en bijbehorende
hiërarchie; G2-certificaten zijn echter niet uitgesloten!);
8. Test de verbinding op basis van de nieuwe certificaten (en CPA’s).
NB: de certificaten die worden vervangen zijn PKIoverheidcertificaten
die worden gebruikt in de productieomgeving. Het
correcte werken van de verbinding op basis van de nieuwe
certificaten kan derhalve alleen in de productieomgeving worden
getest. Een en ander dient uiteraard in nauwe samenwerking met
de consumer te worden voorbereid en uitgevoerd. Hierbij is het
raadzaam om eerst de SSL-verbinding te testen
(transportbeveiliging) en in tweede instantie de berichtbeveiliging
(indien daar gebruik van wordt gemaakt).
2.2 Stappenplan voor service consumers
Voor partijen die elektronische services afnemen (service requesters of
service consumers):
1. Neem contact op met de service provider indien deze niet zelf al
contact heeft gezocht en maak afspraken over de wijziging van
certificaat;
2. Indien u geen overeenkomst met een andere certificaatleverancier
(Certificate Service Provider, CSP) heeft, kies dan een van de
leveranciers voor services-certificaten zoals te vinden op
http://www.logius.nl/producten/toegang/pkioverheid/vervangencertificaten/
en meldt u dan aan bij deze leverancier:
Lever bewijs dat uw organisatie een (overheids)organisatie
is, zoals een wet, oprichtingsakte of een uittreksel uit het
Handelsregister.
Lever als overheidsorganisatie, indien van toepassing, uw
OIN;
Lever bewijs van bevoegdheid (benoemings- of
aanstellingsbesluit) van de vertegenwoordiger
(bijvoorbeeld een minister, burgemeester of directeur);
Lever een kopie van een geldig identificatiebewijs van uw
bevoegd vertegenwoordiger;
2. Vraag voor elk van uw huidige Diginotar-certificaten een nieuwe
certificaat aan bij uw nieuwe CSP. Voor elk nieuw certificaat:
moet een nieuwe RSA-sleutel van 2048 bits worden
gegenereerd
moet, in overleg met Logius, een keuze worden gemaakt
uit:
i. SHA-1 met RSA-2048 en een einde geldigheid van
31-12-2011, of
Pagina 10 van 12

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
ii. SHA-256 met RSA-2048 en een maximale
geldigheid van 3 jaar;
moet een CSR gegenereerd worden met het gekozen
algoritme (SHA1WithRSAencryption of
SHA256WithRSAencryption);
moet bij de CSR bij de CSP worden ingediend.
Opmerking: aan de CSP kan worden gevraagd het nieuwe
certificaat op te leveren als .p7b-bestand in plaats van
.cer-bestand. Het .p7b-formaat bevat tevens de bij de
nieuwe CSP behorende certificaathiërarchie;
3. Sluit een nieuwe overeenkomst met de service provider en zorg
ervoor dat binnen deze overeenkomst de public keys (.cerbestanden)
worden uitgewisseld.
Opmerking: het initiatief voor deze overeenkomst ligt normaliter
bij de service consumer. Logius adviseert om voor deze
overeenkomst gebruik te maken van een consumption request via
het Digikoppeling Service Register. Overeenkomstgegevens en
bijbehorende (publieke) certificaatgegevens worden daarmee
geborgd in het Register;
4. In geval van een koppeling op basis van ebMS: genereer een
nieuwe CPA (in de regel wordt deze gemaakt door de consumer)
en valideer deze CPA (let er met name op dat hierin de juiste
certificaatinfo is opgenomen).
Opmerking: de CPA hoeft niet te worden aangepast indien de
infrastructuur is ingericht op basis van TLS / SSL-offloading (of
andere gevallen waarbij TLS / SSL-afhandeling niet in de
Digikoppeling-adapter is ondergebracht).
Logius adviseert om de nieuwe CPA door de consumer te laten
opnemen in het consumption request dat deze aan de provider
richt;
5. Stel in overleg met de provider een plan op voor het vervangen
van de certificaten en (mogelijk) CPA. Let hierbij vooral op:
Een geschikte datum/ tijdstip voor beide partijen 6 ;
Een geschikte testprocedure;
6. Pas aan beide zijden certificaten (keystores, truststore) en, indien
relevant, CPA aan (upgrade adapter).
Opmerkingen:
Niet in alle gevallen is het noodzakelijk om het certificaat
van de communicatiepartner lokaal te installeren (maar
veelal wordt dit wel vereist door de adapter of het
onderliggende platform);
6 Aanpassen van het certificaat (en CPA) moet in het geval van ebMS voor beide aangesloten partijen
tegelijk plaatsvinden. Zodra certificaat en/of CPA door de ene partner is aangepast, werkt de ebMSverbinding
namelijk niet meer voor de aangesloten partijen. Zij zullen aan hun kant
certificatestores en CPA zo snel mogelijk up-to-date moeten brengen. Partijen die een TLS/SSLoffloader
gebruiken, hoeven in de regel niets te ondernemen, mits:
1. het CPA-ID gelijk blijft;
2. zij certificaten niet individueel in de truststore van de offloader hebben opgenomen;
3. er behalve het certificaat niets wijzigt.
Pagina 11 van 12

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
Let erop dat ook het CSP-certificaat/certificaten worden
vervangen in de gebruikte certificaathiërarchie (in de regel
zal het nog gaan om G1-certificaten en bijbehorende
hiërarchie; G2-certificaten zijn echter niet uitgesloten!);
7. Test de verbinding op basis van de nieuwe certificaten (en CPA’s).
NB: de certificaten die worden vervangen zijn PKIoverheidcertificaten
die worden gebruikt in de productieomgeving. Het
correcte werken van de verbinding op basis van de nieuwe
certificaten kan derhalve alleen in de productieomgeving worden
getest. Een en ander dient uiteraard in nauwe samenwerking met
de consumer te worden voorbereid en uitgevoerd. Hierbij is het
raadzaam om eerst de TLS / SSL-verbinding te testen
(transportbeveiliging) en in tweede instantie de berichtbeveiliging
(indien daar gebruik van wordt gemaakt).
Pagina 12 van 12