Certificate Management

Wat is Certificate Management?

Certificate Management is het beheer van de volledige levenscyclus van digitale X.509-certificaten (aanvragen, uitgeven, uitrollen, vernieuwen, intrekken en verwijderen), zodat systemen elkaar betrouwbaar kunnen authenticeren en hun communicatie met encryptie en integriteitscontrole kunnen beschermen. Het vormt het operationele deel van een Public Key Infrastructure (PKI). In industriële OT-netwerken bepaalt certificaatbeheer of PLC’s, SCADA, HMI’s, Remote Access-portalen en industriële firewalls elkaar vertrouwen. Gaat het mis, dan weigert een apparaat de verbinding of staat het juist open voor spoofing en man-in-the-middle-aanvallen.

🧠 Hoe werkt Certificate Management?

Een certificaat koppelt een publieke sleutel aan een identiteit, zoals een apparaatnaam, IP-adres of OPC UA-applicatie-URI. Een Certificate Authority (CA) ondertekent die koppeling. Een systeem dat de CA vertrouwt, vertrouwt daarmee ook het certificaat. Het beheer daarvan verloopt in vaste stappen, onderdeel van het bredere Lifecycle Management:

1. Sleutelpaar en aanvraag - het apparaat maakt bij voorkeur zelf een sleutelpaar aan en stuurt alleen een aanvraag (CSR) met de publieke sleutel. De privésleutel verlaat het apparaat dan nooit.
2. Uitgifte - de CA controleert de aanvraag en geeft een certificaat uit met identiteit, publieke sleutel, geldigheidstermijn, toegestaan gebruik en handtekening.
3. Uitrol en vertrouwen - het certificaat wordt geïnstalleerd en de communicatiepartners krijgen de CA in hun vertrouwenslijst (trust list).
4. Validatie - bij elke verbinding, bijvoorbeeld via TLS, HTTPS, VPN of S7 Comm Plus, controleert de tegenpartij de handtekening, de keten tot een vertrouwde CA, de geldigheidsdatum en de intrekkingsstatus.
5. Vernieuwen - ruim vóór de vervaldatum komt er een nieuw certificaat, liefst automatisch.
6. Intrekken en verwijderen - bij een gestolen sleutel, een buiten gebruik gesteld apparaat of een fout komt het certificaat op een intrekkingslijst (CRL) of wordt het via OCSP als ingetrokken gemeld.

🔍 Welke certificaattypen kom je in OT tegen?

🏭 Waar worden certificaten gebruikt in industriële netwerken?

• OPC UA - elke client en server heeft een applicatie-instantiecertificaat. De beveiligingsprofielen Basic128Rsa15 en Basic256 gebruiken SHA-1 en zijn verouderd. Kies Basic256Sha256, Aes128_Sha256_RsaOaep of Aes256_Sha256_RsaPss.
• Siemens S7-1500 - sinds TIA Portal V17 en CPU-firmware V2.9 loopt de PG/HMI-communicatie via TLS. De CPU identificeert zich met een certificaat dat TIA Portal genereert of dat u importeert, en de certificaatbeheerder in TIA Portal houdt ze bij.
• Webinterfaces - HTTPS naar HMI’s, webservers van veldapparaten, switches en Remote Access-portalen.
• Netwerktoegang - certificaatgebaseerde authenticatie met EAP-TLS bij 802.1X en RADIUS.
• VPN-tunnels - tussen sites, beheercentra en leveranciers, bij voorkeur met certificaten in plaats van gedeelde sleutels.
• MQTT - brokers en clients met TLS en clientcertificaten per apparaat.
• Energiesector - IEC 62351-9 (tweede editie 2023) regelt sleutel- en certificaatbeheer voor apparatuur in elektriciteitsnetten, onder meer voor IEC 61850-communicatie.
• Zero Trust - elke verbinding wordt op identiteit gecontroleerd, en certificaten zijn daarvoor een goed schaalbare vorm van apparaatidentiteit.

🔧 Hoe worden certificaten automatisch uitgerold?

Handmatig beheer werkt bij tien apparaten, niet bij duizend. Daarom bestaan er standaardprotocollen voor uitgifte en vernieuwing:

Part 12 van OPC UA kent twee modellen. Bij pull vraagt de applicatie zelf certificaten en vertrouwenslijsten op bij de Global Discovery Server (GDS). Bij push zet de GDS ze actief op de server, waarvoor de GDS de rol SecurityAdmin nodig heeft. Voor IT-gebaseerde PKI’s gebruiken veel organisaties Microsoft AD CS, gekoppeld aan Active Directory.

🔐 Welke eisen stellen IEC 62443 en de wetgeving?

IEC 62443-3-3 vraagt op systeemniveau om PKI-certificaten (SR 1.8) en sterke authenticatie met publieke sleutels (SR 1.9). Op componentniveau herhaalt IEC 62443-4-2 dit als CR 1.8 en CR 1.9. Een component moet de certificaatketen tot een vertrouwde CA kunnen valideren en de intrekkingsstatus kunnen controleren. Op hogere security levels moet de privésleutel in hardware zijn beschermd, bijvoorbeeld met een Trusted Platform Module.

Voor Nederlandse organisaties onder de Cyberbeveiligingswet (van kracht sinds 15 augustus 2026) en NIS2 vallen cryptografie en toegangsbeheer onder de verplichte maatregelen. Fabrikanten krijgen met de Cyber Resilience Act eisen voor veilige standaardinstellingen en vertrouwelijkheid: de meldplicht geldt vanaf 11 september 2026, de volledige toepassing vanaf 11 december 2027.

🧭 Hoe richt u certificaatbeheer in een OT-omgeving in?

1. Inventariseer alle certificaten - gebruik de asset-inventaris om per apparaat vast te leggen welke certificaten er zijn, wie ze uitgaf en wanneer ze verlopen.
2. Ontwerp een eigen PKI - een offline root-CA en per site of zone een intermediate CA, in lijn met het zones-en-conduits-model.
3. Kies geldigheidstermijnen bewust - publieke TLS-certificaten mogen sinds 15 maart 2026 maximaal 200 dagen geldig zijn, vanaf 15 maart 2027 100 dagen en vanaf 15 maart 2029 47 dagen (CA/Browser Forum-ballot SC-081). Een private CA is daar niet aan gebonden. In OT kiezen organisaties voor apparaatcertificaten vaak enkele jaren, en korter waar automatische vernieuwing werkt.
4. Zorg voor correcte tijd - certificaatvalidatie vereist een betrouwbare klok. Zonder NTP of PTP lijkt een geldig certificaat verlopen of nog niet geldig.
5. Regel intrekking praktisch - geïsoleerde netwerken bereiken vaak geen externe OCSP-server. Publiceer de CRL lokaal en stem de verversingstermijn daarop af.
6. Automatiseer en bewaak - gebruik EST, CMP of de OPC UA GDS, waarschuw ruim vóór vervaldata en stuur wijzigingen naar Monitoring, SIEM en audit-logboeken.
7. Plan voor cryptografische veroudering - RSA-2048 en ECDSA P-256 zijn nu voldoende. Volgens het concept van NIST IR 8547 (november 2024) wordt RSA-2048 na 2030 afgekeurd en zijn RSA en ECC na 2035 helemaal niet meer toegestaan. Een apparaat dat u nu koopt, draait dan vaak nog. Neem Post-quantumcryptografie mee bij vervanging van PKI en apparaten.

❓ Veelgestelde vragen

Wat gebeurt er als een certificaat in OT verloopt?

Als een certificaat verloopt, weigert de tegenpartij de verbinding, omdat die bij elke verbinding de geldigheidsdatum controleert. Een HMI verliest dan de verbinding met de PLC of een historian ontvangt geen data meer, zonder dat er een aanval is. Bewaking van vervaldata en automatische vernieuwing voorkomen zulke stilstand.

Zijn zelfondertekende certificaten in OT acceptabel?

Zelfondertekende certificaten zijn cryptografisch even sterk als door een CA uitgegeven certificaten, maar elk apparaat moet ze afzonderlijk vertrouwen. Bij enkele apparaten is dat werkbaar, bij honderden apparaten wordt het onbeheersbaar en kunnen ze niet centraal worden ingetrokken. Vervang fabriekscertificaten daarom door certificaten van een eigen PKI.

Hebben OT-netwerken een eigen CA nodig?

Een OT-netwerk heeft meestal een eigen, private CA nodig, omdat publieke CA’s geen certificaten uitgeven voor interne namen en privé-IP-adressen en steeds kortere geldigheid eisen. Een eigen CA geeft controle over geldigheid, intrekking en vertrouwen per zone. Veel organisaties hangen de OT-CA onder een aparte root, los van de IT-PKI.

Wat is het verschil tussen een CRL en OCSP?

Een CRL (Certificate Revocation List) is een periodiek gepubliceerde lijst van ingetrokken certificaten die het apparaat zelf downloadt. OCSP (Online Certificate Status Protocol) vraagt per certificaat de actuele status op bij een server. In geïsoleerde OT-netwerken is een lokaal gepubliceerde CRL vaak de praktische keuze.

Hoe lang moet een certificaat in OT geldig zijn?

Voor een private OT-PKI bestaat geen wettelijke maximumtermijn: root-CA’s krijgen vaak 10 tot 20 jaar, apparaatcertificaten meestal enkele jaren. Kortere termijnen verkleinen de schade van een gestolen sleutel, maar vragen om automatische vernieuwing. Publieke TLS-certificaten mogen sinds 15 maart 2026 nog maximaal 200 dagen geldig zijn.

Welke rol speelt een TPM bij certificaatbeheer?

Een Trusted Platform Module bewaart de privésleutel van een certificaat in hardware, zodat die niet kan worden gekopieerd. IEC 62443-4-2 vraagt op hogere security levels om zo’n hardwarebescherming. Bij vervanging van het apparaat maakt u een nieuwe sleutel aan en vraagt u een nieuw certificaat aan.

📌 Samengevat

Certificate Management beheert de volledige levenscyclus van digitale certificaten, zodat PLC’s, SCADA, HMI’s en gateways elkaar betrouwbaar authenticeren en versleuteld communiceren. Met een eigen OT-PKI, automatische uitrol via EST, CMP of de OPC UA GDS, betrouwbare tijd, bewaking van vervaldata en een plan voor post-quantumcryptografie voorkomt u zowel stilstand door verlopen certificaten als aanvallen via vervalste identiteiten.