Er zijn belangrijke wijzigingen op komst voor PKIoverheidcertificaten. Deze worden vanaf januari 2011 alleen nog geleverd vanuit een nieuwe Root van de Staat der Nederlanden: de G2-root. Deze wijzigingen kunnen gevolgen hebben voor het gebruik van certificaten en derhalve voor de dienstverlening.

U gebruikt bijvoorbeeld elektronische certificaten van Diginotar, bijvoorbeeld voor ondertekening van documenten, beveiliging van e-mails of voor identificatie van uw website. Een certificaat bevat uw identiteitsgegevens en is getekend met de elektronische handtekening van DigiNotar. Tot zover blijft alles hetzelfde.

Wat gaat er veranderen?
De handtekening die gezet wordt over het certificaat zal met een verbeterde en meer veilige techniek worden uitgevoerd: de zogenaamde "SHA-256". Tevens zal de sleutellengte minimaal 2048 bits zijn.  De certificaten worden ook uit een nieuwe "Root" of "hiërarchie" geleverd. Hierin hebben de Root Certificaten zelfs een sleutellengte van 4096 bits.

Waarom?
Een certificaat heeft een levensduur van ongeveer 4 jaar. Gedurende deze tijd moet de handtekening betrouwbaar blijven. Organisaties zoals DigiNotar en PKIoverheid volgen de aanbevelingen van internationaal erkende beveiligingsexperts van het NIST. Deze hebben aangegeven dat de betrouwbaarheid van het huidige toegepaste SHA-1 afneemt vanaf begin 2011. Zij bevelen aan dat in de periode 2011 tot 2015 organisaties overstappen naar de nieuwste veilige technologie.

Alle Certificaten?
DigiNotar levert verschillende soorten certificaten. Alle certificaten van PKIoverheid zullen uiterlijk 1 januari 2011 zijn voorzien van de SHA-256 techniek en minimaal 2048 sleutellengte. Zowel de PKIoverheid services certificaten en SSL certificaten als ook de persoonlijke certificaten op USB of smartcard. PKIoverheid is een landelijke standaard en heeft invoering per 1 januari 2011 voor alle uitgevende partijen, zoals DigiNotar, verplicht gesteld.
De overige DigiNotar certificaten zoals de Beroepscertificaten en envelopcertificaten worden wel per 1 januari 2011 voorzien van de minimale sleutellengte maar nog niet van de SHA-256 technologie.

Wat merk ik ervan?
Met een beetje geluk merkt u helemaal niets, maar in het ergste geval werkt echter uw toepassing die gebruik maakt van certificaten in het geheel niet meer. Toepassingen of programma's die met certificaten werken, moeten met deze nieuwe technologie overweg kunnen. Toepassingen zijn:

• uw webserver die SSL certificaten gebruikt (Windows server, Apache, etc.);
• uw mailclient waarmee u e-mails ondertekent (Outlook, etc.);
• uw operating system dat hiermee samenwerkt (windowsXP, Vista, etc.);
• uw ondertekeningprogrammatuur in uw Document Management System (PDF Sign&Seal, DMS, etc.);
• uw eigen maatwerk toepassing die met certificaten werkt.