HTTPS

Wat is HTTPS?

HTTPS (HyperText Transfer Protocol Secure) is de beveiligde variant van HTTP, waarbij al het webverkeer tussen client en webserver door een TLS-verbinding (Transport Layer Security) loopt, zodat de gegevens versleuteld, beschermd tegen wijziging en afkomstig van een geverifieerde server zijn. HTTPS is dus geen apart protocol: het is gewone HTTP binnen een TLS-tunnel, standaard op TCP-poort 443. Netscape introduceerde HTTPS in 1994; de IETF legde het gebruik in 2000 vast in RFC 2818, en sinds 2022 definieert RFC 9110 het https-schema.

In OT-omgevingen beveiligt HTTPS vooral de webinterfaces van apparaten, zoals switches, PLC’s, HMI’s en historian-servers, en de API’s waarmee edge- en cloudapplicaties data ophalen.

🧠 Hoe werkt HTTPS?

Een HTTPS-verbinding verloopt in vier stappen:

1. Verbinding en TLS-handshake - de client opent een TCP-verbinding en start een TLS-handshake. Client en server spreken een protocolversie en cipher suite af en leiden samen sessiesleutels af. In TLS 1.3 kost dat één round-trip.
2. Authenticatie van de server - de server stuurt een X.509-certificaat. De client controleert of het certificaat is ondertekend door een vertrouwde certificaatautoriteit (CA), of het nog geldig is en of de naam overeenkomt met de opgevraagde host. Standaard stuurt alleen de server een certificaat; bij mutual TLS (mTLS) bewijst ook de client zijn identiteit met een certificaat.
3. Versleuteling - alle HTTP-verzoeken en -antwoorden, inclusief URL-pad, headers, cookies en wachtwoorden, gaan versleuteld over de lijn.
4. Integriteitscontrole - elk TLS-record bevat een cryptografische controle, zodat manipulatie onderweg direct opvalt.

Zo beschermt HTTPS tegen afluisteren (sniffing), spoofing en man-in-the-middle-aanvallen. HTTPS beschermt níét alles: de hostnaam is meestal nog zichtbaar in het SNI-veld van de handshake, en een kwaadwillende website kan net zo goed een geldig certificaat hebben. Het slotje zegt dus iets over de verbinding, niet over de betrouwbaarheid van de site.

🔍 Wat is het verschil tussen HTTP en HTTPS?

HTTPS werkt met alle HTTP-versies. HTTP/1.1 en HTTP/2 lopen over TLS op TCP; HTTP/3 (RFC 9114, 2022) gebruikt QUIC op UDP, waarin TLS 1.3 direct is ingebouwd. Browsers ondersteunen HTTP/2 en HTTP/3 alleen over een versleutelde verbinding.

🏭 Waar wordt HTTPS gebruikt in industriële netwerken?

• Beheer van apparaten - webinterfaces van Industrial Ethernet-switches, O, firewall-managementconsoles en PLC-webservers.
• Bediening en visualisatie - SCADA-portalen en HMI-webclients die in een browser draaien.
• Data en rapportage - dashboards van historians en MES, plus REST-API’s voor edge- en cloudkoppelingen.
• Onderhoud - firmware- en configuratie-updates via beveiligde webportalen.
• Toegang van buitenaf - leveranciersportalen achter een VPN of jump server, of via een reverse proxy in de DMZ.

Voor procesdata zelf gebruikt OT meestal eigen protocollen. OPC UA heeft een eigen beveiligingslaag (met optioneel een HTTPS-transport), en MQTT draait over TLS op poort 8883. HTTPS is vooral het kanaal voor mensen en webapplicaties.

⚠️ Welke problemen speelt HTTPS in OT-omgevingen?

Webinterfaces op veldapparatuur zijn een veelvoorkomend aanvalspunt. Typische knelpunten:

• Self-signed certificaten - veel apparaten genereren bij de eerste start een eigen certificaat. Browsers tonen dan een waarschuwing, en operators leren die weg te klikken. Precies dat gedrag maakt een man-in-the-middle-aanval veel makkelijker.
• Verouderde TLS-versies - oudere apparaten ondersteunen soms alleen TLS 1.0 of 1.1, die sinds 2021 formeel zijn afgeschaft (RFC 8996). Moderne browsers weigeren die verbindingen.
• Verlopen certificaten - een verlopen certificaat kan een HMI-webclient of API-koppeling plotseling blokkeren en raakt dan direct de beschikbaarheid.
• Onjuiste klok - certificaatcontrole vergelijkt de geldigheidsdatum met de systeemtijd. Apparaten zonder betrouwbare tijdsbron via NTP wijzen geldige certificaten af of accepteren verlopen certificaten.
• HTTP blijft open - vaak staat poort 80 naast 443 nog aan, waardoor wachtwoorden alsnog onversleuteld kunnen lopen.

🔐 Hoe richt u HTTPS veilig in?

1. Inventariseer alle apparaten met een webinterface, hun TLS-versie en certificaatgegevens.
2. Kies een TLS-profiel - TLS 1.3 waar het kan, TLS 1.2 met sterke cipher suites waar het moet. De TLS-richtlijnen van het NCSC (versie 2025-05) beoordelen TLS 1.3 als “goed” en TLS 1.2 als “voldoende”.
3. Vervang self-signed certificaten door certificaten van een eigen OT-CA en richt certificaatbeheer in, met automatische vernieuwing (bijvoorbeeld via ACME, RFC 8555) waar apparaten dat ondersteunen.
4. Schakel HTTP uit of laat het alleen doorverwijzen, en gebruik HSTS (RFC 6797) op webservers die dat ondersteunen.
5. Beperk wie de interface bereikt met netwerksegmentatie, firewallregels en toegangsbeheer, en combineer remote login met MFA.
6. Hard en patch - verwijder standaardaccounts, schakel ongebruikte webdiensten uit (hardening) en neem webserver-kwetsbaarheden mee in patchmanagement.

Certificate pinning is in browsers niet meer beschikbaar (HPKP is in 2019 uit Chrome en begin 2020 uit Firefox verwijderd), maar blijft nuttig in eigen clients en apps die met één vaste server praten.

Let op de kortere looptijd van publiek vertrouwde certificaten. De CA/Browser Forum-ballot SC-081v3 (aangenomen op 11 april 2025) verlaagt de maximale geldigheid van 398 naar 200 dagen per 15 maart 2026, naar 100 dagen per 15 maart 2027 en naar 47 dagen per 15 maart 2029. Dat geldt voor publieke certificaten, zoals die van cloud- en leveranciersportalen. Een interne OT-CA valt er niet onder, maar ook daar maakt automatisering vernieuwing beheersbaar.

⚖️ Is HTTPS verplicht?

Voor Nederlandse bestuursorganen wel: het Besluit beveiligde verbinding met overheidswebsites en -webapplicaties, gebaseerd op de Wet digitale overheid, verplicht sinds 1 juli 2023 HTTPS en HSTS (met een HSTS-duur van minstens een jaar) voor publiek bereikbare websites en webapplicaties. Interne sites die niet vanaf internet bereikbaar zijn, vallen erbuiten.

Normen en wetten voor bedrijven noemen HTTPS meestal niet bij naam, maar eisen wel versleuteling en integriteitsbescherming van communicatie. Voorbeelden zijn IEC 62443 (eisen voor vertrouwelijkheid, communicatie-integriteit en het gebruik van cryptografie), ISO 27001 (beheersmaatregel voor cryptografie), NIS2 met de Nederlandse Cyberbeveiligingswet, en de Cyber Resilience Act, die eist dat producten met digitale elementen gegevens met actuele versleuteling beschermen. In de praktijk is HTTPS daarmee de verwachte compliance-basis voor elke webinterface.

❓ Veelgestelde vragen

Welke poort gebruikt HTTPS?

HTTPS gebruikt standaard TCP-poort 443, terwijl gewone HTTP poort 80 gebruikt. Bij HTTP/3 loopt HTTPS over QUIC op UDP-poort 443. Apparaten en applicaties kunnen een andere poort gebruiken, zoals 8443, maar dat verandert niets aan de beveiliging.

Is een website met HTTPS altijd betrouwbaar?

Nee, HTTPS garandeert alleen dat de verbinding versleuteld is en dat de server het certificaat voor die domeinnaam bezit. Ook phishingsites gebruiken vaak HTTPS met een geldig certificaat. Controleer daarom altijd de domeinnaam en vertrouw niet alleen op het slotje.

Wat is het verschil tussen HTTPS en TLS?

TLS is het beveiligingsprotocol dat een verbinding versleutelt en authenticeert, HTTPS is HTTP dat over zo’n TLS-verbinding loopt. TLS beveiligt ook andere protocollen, zoals MQTT, e-mail en OPC UA-transport. HTTPS is dus één toepassing van TLS.

Mag ik self-signed certificaten gebruiken op OT-apparaten?

Een self-signed certificaat versleutelt de verbinding wel, maar de browser kan de identiteit van het apparaat niet controleren. Gebruikers wennen dan aan het wegklikken van waarschuwingen, wat man-in-the-middle-aanvallen makkelijker maakt. Beter is een certificaat van een eigen OT-certificaatautoriteit die op de beheerwerkplekken als vertrouwd is ingesteld.

Is HTTPS genoeg om een PLC-webinterface te beveiligen?

Nee, HTTPS beschermt alleen het transport en niet de webapplicatie zelf. Een PLC-webinterface heeft daarnaast sterke wachtwoorden, rolgebaseerde toegang, actuele firmware en netwerksegmentatie nodig. Schakel de webserver van een PLC uit als u hem niet gebruikt.

Wat is HSTS?

HSTS (HTTP Strict Transport Security, RFC 6797) is een header waarmee een webserver de browser opdraagt om het domein voortaan alleen via HTTPS te benaderen. Dat voorkomt dat een aanvaller de verbinding terugzet naar onversleutelde HTTP. Nederlandse overheidswebsites zijn sinds 1 juli 2023 verplicht om HSTS te gebruiken.

📌 Samengevat

HTTPS is HTTP binnen een TLS-verbinding: het versleutelt webverkeer, controleert de identiteit van de server en detecteert manipulatie. In OT is HTTPS de standaard voor webinterfaces en API’s van switches, PLC’s, HMI’s en historians, mits u TLS 1.2 of 1.3 gebruikt, self-signed certificaten vervangt door een beheerde interne PKI, HTTP uitschakelt en de toegang beperkt met segmentatie en MFA.