Implementatieplan 'Vervangen certificaten voor Digikoppeling ...

Definitief | Implementatieplan ‘Vervangen certificaten voor Digikoppeling’ | 9 september 2011
d. het eigen certificaat en diens hiërarchie (dus ook het
certificaat van de nieuwe CSP 2 ) ter beschikking stellen aan de
andere partij zodat deze dit, indien nodig, kan toevoegen in de
truststore ter vervanging van het ‘niet meer vertrouwde’
certificaat. N.B. Bij een ideale implementatie van Digikoppeling
is deze actie niet nodig omdat partijen certificaten vertrouwen
op basis van o.a. een geldige root en niet het individuele
certificaat; niet elke partij werkt echter al zo in de praktijk;
e. expliciet controle plaatsvindt dat het Diginotar-certificaat niet
meer vertrouwd wordt.
2. Partij A maakt gebruik van een Diginotar-certificaat, partij B niet.
Partij A vervangt diens certificaat en:
a. neemt het eigen certificaat op in de eigen keystore en past dit
toe in plaats van het Diginotar-certificaat (WUS-TLS);
b. neemt het eigen certificaat op in de Digikoppeling-adapter en
past dit toe in plaats van het Diginotar-certificaat (WUSsigning);
c. maakt (gezamenlijk met de andere partij) een nieuwe CPA
waarin het nieuwe certificaat (naast de oude certificaten van
de andere partij) is opgenomen. Zowel partij A als partij B
importeren de nieuwe CPA in hun Digikoppeling-adapter
(ebMS) 3 .
d. stelt het eigen certificaat en diens hiërarchie ter beschikking
aan de andere partij zodat deze dit, indien nodig, kan
toevoegen in de truststore ter vervanging van het ‘niet meer
vertrouwde’ certificaat. N.B. Bij een ideale implementatie van
Digikoppeling is deze actie niet nodig omdat partijen
certificaten vertrouwen op basis van o.a. een geldige
PKIoverheid-root en niet het individuele certificaat; niet elke
partij werkt echter al zo in de praktijk;
e. zorgt ervoor dat er expliciet controle plaatsvindt dat het
Diginotar-certificaat niet meer vertrouwd wordt.
3. Noch partij A, noch partij B maakt gebruik van een Diginotarcertificaat:
geen impact.
2
3
Voor beide partijen moet gelden dat het nieuwe certificaat kan worden geverifieerd tegen de
bijbehorende ‘trust chain’: Staat der Nederlanden Root CA – Staat der Nederlanden Overheid CA -
CSP domeincertificaat – domeincertificaat
Niet elke leverancier van Digikoppeling-adapters ondersteunt het importeren van CPA’s. In dat
geval zal configuratie van de Digikoppeling-adapter en eventuele keystore en truststore moeten
plaatsvinden. Overleg hierover met uw leverancier.
Pagina 6 van 12