|
Wat |
core.tls.311 wordt uitgebreid met de PKIoverheid G4-hiërarchie voor private server-TLS, en bepaalt voortaan zowel welk certificaat een Backchannel Node accepteert als welk certificaat zij overlegt. |
|
Raakt |
core.tls.311 · toelichting core.tls.307 · toelichting core.tls.313 |
|
Impact op |
DVP · DVA · |
|
Classificatie |
Minor (met implementatietermijn) |
|
Versie afsprakenstelsel |
2.6.0 |
|
Afbeeldingen aanpassen? |
Nee |
|
Gerelateerde tickets |
AF-828 · AF-829 · AF-830 · AF-831 · AF-881 |
|
Status |
Release |
|
Akkoord bevonden door |
Product owner Afsprakenstelsel · Architect afsprakenstelselteam · Releasemanager |
Aanleiding
PKIoverheid vervangt de private G1-hiërarchie door G4. De G1-generatie eindigt in november 2028; een nieuw G1-certificaat is nooit langer geldig dan die datum en levert dus bij elke verlenging minder op.
Het Afsprakenstelsel staat die overgang nu niet toe:
-
Accepteren kan niet. core.tls.311 noemt als vertrouwd anker uitsluitend 'Staat der Nederlanden Private Root CA - G1'. core.tls.309 verwijst daarnaar en schrijft voor dat bij een falende controle het certificaat niet wordt geaccepteerd en de TLS-sessie niet wordt gestart.
-
Aanbieden is niet genormeerd. Sinds core.tls.314 is vervallen bevat de afsprakenset geen bepaling meer die vaststelt welk certificaat een node bij backchannel-verkeer overlegt.
Beide worden in core.tls.311 opgelost, in één release.
Wat verandert
-
core.tls.311 wordt uitgebreid met 'Staat der Nederlanden - G4 Root Priv G-TLS - 2024'; beide stamcertificaten worden gelijktijdig vertrouwd tot 13 november 2028.
-
Het vertrouwen blijft op stamcertificaatniveau belegd; nieuw is dat vertrouwen op een intermediate- of TSP-CA-certificaat expliciet niet volstaat.
-
core.tls.311 legt vast dat Backchannel Nodes een certificaat uit een van deze hiërarchieën overleggen — de bepaling die met core.tls.314 wegviel.
-
De uitgewerkte EV-uitzondering vervalt en wordt vervangen door een einddatum voor het vertrouwen in G1: 13 november 2028.
-
Aan core.tls.311 wordt een toelichting toegevoegd; de toelichtingen bij core.tls.307 en core.tls.313 worden geactualiseerd.
Impact
-
Deelnemers voegen één stamcertificaat toe aan hun truststore. Geen applicatiewijziging, geen certificaatvervanging; het aanbieden van een G1-certificaat blijft toegestaan.
-
Wie zijn truststore op intermediate- of TSP-CA-niveau heeft ingericht, moet herconfigureren naar het stamcertificaat.
-
De ketenopbouw is bij G1 en G4 gelijk: in beide hiërarchieën zitten twee intermediate certificaten tussen het eindgebruikerscertificaat en het stamcertificaat. De overgang wijzigt niets aan het aantal mee te sturen certificaten. core.tls.313 blijft onverkort gelden.
-
Doordat op stamcertificaatniveau wordt geankerd, vallen alle door PKIoverheid onder de genoemde hiërarchieën uitgegeven TSP-CA's binnen het vertrouwen, ook die onder G4.
-
Het frontchannel wordt niet geraakt; daarvoor geldt core.tls.315.
-
De MedMij Stelselnode is een Backchannel Node en valt onder dezelfde verantwoordelijkheid.
Implementatietermijn
|
Publicatie voorstel |
9 september 2026 op changemanagement.medmij.nl. Vanaf dit moment loopt de voorbereidingstijd. |
|
Opname normtekst |
AS-release 13 oktober 2026 |
|
Conformiteit — accepteren |
Uiterlijk 12 november 2026. MedMij sluit aan bij de datum die het CIBG en de Taskforce PKIo G4 hanteren. |
|
Conformiteit — aanbieden |
Toegestaan vanaf 12 november 2026, niet verplicht. Volgt de vervalkalender van het eigen certificaat, uiterlijk 12 november 2028 |
Accepteren gaat vóór aanbieden. Wie zijn eigen certificaat vervangt voordat zijn tegenpartijen de G4-root vertrouwen, verbreekt zijn eigen verbindingen. Alleen voor de eerste stap geldt een uiterste datum; overstappen op een G4-certificaat is niet verplicht. De volgorde is technisch dwingend.
Door te voeren wijzigingen
Legenda: groene tekst is nieuw, rode doorgestreepte tekst vervalt, zwarte tekst blijft ongewijzigd.
|
Locatie |
Oude situatie |
Nieuwe situatie |
|---|---|---|
|
core.tls.311 Verantwoordelijkheden, Core — TLS en certificaten, rij 13 |
Met inachtneming van verantwoordelijkheid core.tls.309, accepteren Backchannel Nodes PKIoverheid certficaten van elkaar door het stamcertificaat van de hiërarchie 'Staat der Nederlanden Private Root CA - G1', zoals gepubliceerd op https://cert.pkioverheid.nl/, te vertrouwen, zolang de geldigheidsdatum niet is verlopen en het stamcertificaat NIET is ingetrokken; Uitzondering Tot 4 december 2022 moeten alle Deelnemers ook de certificaten uit de hiërarchie 'Staat der Nederlanden EV', zoals gepubliceerd op https://cert.pkioverheid.nl/, accepteren. Dit doen zij door ook van deze hiërarchie het stamcertificaat te vertrouwen. Na 4 december 2022 mag dit stamcertificaat niet meer vertrouwd worden. |
Met inachtneming van verantwoordelijkheid core.tls.309, accepteren Backchannel Nodes PKIoverheid
Voor authenticatie en autorisatie bij backchannel-verkeer op het MedMij-netwerk overleggen Backchannel Nodes een PKIoverheid-certificaat uit een van deze hiërarchieën. Backchannel Nodes richten het vertrouwen in op het stamcertificaat zelf. Het in plaats daarvan vertrouwen van een onderliggend intermediate- of TSP-CA-certificaat voldoet NIET aan deze verantwoordelijkheid.
Het vertrouwen in 'Staat der Nederlanden - G4 Root Priv G-TLS - 2024' is uiterlijk op 12 november 2026 ingericht.
De geldigheid van het stamcertificaat 'Staat der Nederlanden Private Root CA - G1' verloopt op 13 november 2028. Vanaf die datum wordt dit stamcertificaat NIET meer vertrouwd.
De hiërarchie 'Staat der Nederlanden - G4 Root Priv G-TLS - 2024' is de private opvolger van 'Staat der Nederlanden Private Root CA - G1' voor backchannel-verkeer. Ook de UZI- en ZOVAR-servercertificaten van het CIBG vallen onder deze root. PKIoverheid kent daarnaast G4-hiërarchieën voor andere doeleinden; die vallen buiten deze verantwoordelijkheid.
Vertrouwen in een stamcertificaat geeft geen toegang; of nodes elkaar mogen benaderen, bepaalt de Whitelist-controle. |
|
Toelichting core.tls.307 rij 9, slotalinea |
… en op de certificatiehiërarchie voor private G1 certificaten van PKIoverheid. |
… en op de |
|
Toelichting core.tls.313 rij 14 |
Normtekst ongewijzigd. De toelichting bevat geen uitleg over de ketenopbouw. |
Toelichting De ketenopbouw is in beide hiërarchieën gelijk. Zowel onder 'Staat der Nederlanden Private Root CA - G1' als onder 'Staat der Nederlanden - G4 Root Priv G-TLS - 2024' zitten twee intermediate certificaten tussen het eindgebruikerscertificaat en het stamcertificaat: een domein-intermediate en daaronder het TSP-CA-certificaat. De overgang naar G4 wijzigt het aantal mee te sturen certificaten dus niet. Het is raadzaam bij ingebruikname van een nieuw certificaat te controleren dat alle intermediate certificaten, en niet het stamcertificaat, worden meegestuurd. |
Bronnen
-
cert.pkioverheid.nl — 'Staat der Nederlanden - G4 Root Priv G-TLS - 2024', geldig 23-05-2024 t/m 20-05-2039, met intermediate 'G4 Intm Priv G-TLS SYS - 2024' en de TSP-CA's van DigiCert, Digidentity, KPN, UZI Server en ZOVAR Server.
-
Logius over de geldigheidsduur — G1 en G3 zijn nooit langer geldig dan november 2028; onder G4 is de maximale looptijd weer drie jaar. Geen uitgiftestop voor G1.
-
Staatscourant stcrt-2024-37801 (G4-roots) en stcrt-2015-6676 (Private Root CA G1).