Open. Gericht op samenwerking. Compliant.

Wat is domeinvalidatie?

Domeinvalidatie, of domain control validation, is een proces dat door openbare certificeringsinstanties wordt gebruikt om te verifiëren dat het individu dat of de organisatie die een TLS/SSL-certificaat aanvraagt, daadwerkelijk de controle heeft over het domein waarvoor het certificaat wordt uitgegeven. Dit is een fundamentele en essentiële stap in het uitgifteproces voor TLS/SSL-certificaten, die garandeert dat alleen de individuen en entiteiten die de legitieme controle over een domein hebben, een certificaat voor dat domein kunnen krijgen.

Het CA/Browser Forum heeft met de CA/B Forum Baseline Requirements voorgeschreven dat er moet worden gevalideerd dat een aanvrager eigenaar is van, of de controle heeft over, een domein. In deze voorschriften worden een aantal methoden gespecificeerd voor het uitvoeren van de validatie, aan de hand van technologieën zoals e-mail, verificatie van DNS-records en verificatie van het gebruik van HTTP/HTTPS.

Het belang van grondige domeinvalidatie

Domeinvalidatie is een fundamenteel proces voor het valideren van de legitieme controle over een domein. Gebreken in het validatieproces kunnen ertoe leiden dat certificaten onbedoeld worden uitgegeven aan kwaadwillenden, die deze kwetsbaarheid misbruiken voor fraude, phishing en malwareaanvallen.

Deze bibliotheken worden beschikbaar gesteld voor de community, voor een grondige evaluatie en doorlopende verbetering. Zo kunnen alle certificeringsinstanties ervoor zorgen dat hun proces van domeinvalidatie van de allerhoogste kwaliteit is.

Wat maakt pkilint anders?

Het pkilint-framework van DigiCert kan geschikt worden gemaakt voor elk type certificaat, zodat kan worden getest aan de hand van de specificaties in de normen voor digitale certificaten.

pkilint is ontwikkeld op basis van de ervaring van DigiCert met certificaat-linters in omgevingen met zeer veel certificaten. Het pkilint-framework biedt enkele belangrijke voordelen ten opzichte van andere benaderingen:

• Het is gebaseerd op een beproefde ASN.1-parser en kan zeer gedetailleerde controles uitvoeren op fouten in de ASN.1-code.
• Het is vanaf de basis ontworpen voor het controleren van vele verschillende PKI-structuren (zoals certificaten, CRL's en OCSP-responses) aan de hand van verschillende normen en vertrouwensframeworks.
• Met behulp van uitgebreide validatielogica worden alle velden van een ASN.1-document geanalyseerd en wordt bepaald welke testreeksen worden uitgevoerd. Dit zorgt voor snellere en grondigere tests, maar met minder ontwikkeltijd.

Naast pkilint heeft DigiCert onlangs een OSS-tool genaamd SMBR-Cert-Factory beschikbaar gesteld. Hiermee kunnen gebruikers testcertificaten genereren die compliant zijn met de verschillende certificaatprofielen die zijn gedefinieerd in de S/MIME Baseline Requirements.

Relevante informatiebronnen