Certificaten

Bij het aanmaken van een nieuw certificaat, voert u een nieuw wachtwoord in. Wanneer uw wacht­woord voorkomt in de database met gelekte wachtwoorden, kunt u deze waarschuwing krijgen:

Waarom deze controle?

Omdat we informatiebeveiliging belangrijk vinden. Volgens de algemeen aanvaarde richtlijnen (zoals NIST sp800-63b) is het verstandig bij invoer van een nieuw wachtwoord, dit te verifiëren tegen uit bekende datalekken openbaar geraakte wachtwoorden.

Hoe controleert de PVM mijn wachtwoord?

De PVM stuurt uw wachtwoord niet over het internet op! De PVM controleert één keer per week of uw wachtwoord misschien onveilig is. Hiervoor wordt een cryptografische hash van uw wachtwoord, ingekort tot 5 tekens, opgestuurd naar de haveibeenpwned service. Door deze werkwijze komt niemand uw wachtwoord te weten. De controle vindt plaats door de circa 300 geretourneerde hashes met dezelfde eerste 5 tekens van daadwerkelijk onveilige wachtwoorden in de PVM te doorzoeken op de complete hash van uw wachtwoord. Komt deze niet voor dan is het wachtwoord niet bekend geworden in een van de vele lekken in de afgelopen jaren. Komt uw wachtwoord wel voor, dan is het onveilig en kunnen we u daarvoor waarschuwen.

Wat moet ik doen?

Kies een ander wachtwoord. Een goed wachtwoord is voldoende lang, niet eerder gebruikt maar nieuw en volkomen willekeurig.

Tip; maak gebruik van een wacht­woordmanager om het aan te maken en beheren.

 

 

categorie: Certificaten, PVM

Waarschuwing zwak of gelekt wachtwoord

Waarom krijg ik deze melding?

U gebruikt voor het certificaat dat aan de PVM gekoppeld is een wachtwoord. Dat wachtwoord is onveilig. Waarom? Omdat het nogal kort is, een veelgebruikt normaal woord is of omdat het wachtwoord vaker door anderen of u gebruikt wordt. Bijvoorbeeld ‘welkom01’. Ook kan het door u gekozen wachtwoord gebruikt zijn op een website waarvan bekend is dat die te maken had met een hack waarbij wachtwoorden van vele gebruikers zijn gestolen (LinkedIn, Yahoo). Zwakke of gelekte wachtwoorden worden gebruikt door kwaadwillenden om te proberen accounts op andere websites te kraken. De PVM controleert één keer per week of uw wachtwoord misschien onveilig is.

Heb ik een nieuw certificaat nodig?

Het idee achter de waarschuwing is dat u het onveilige wachtwoord dat u voor de PVM gebruikt niet opnieuw moet gebruiken. U kunt de PVM met dit certificaat en wachtwoord in principe blijven gebruiken tot het verstrijken van de looptijd. ZorgTTP past aanvullende controles toe bij de ontvangst van berichten waardoor het risico dat iemand zich als u voordoet verwaarloosbaar is.

Moet ik verder nog wat doen?

Misschien gebruikt u hetzelfde wachtwoord wel bij een andere dienst of website. Dan is het verstandig om daar uw wachtwoord aan te passen. Gebruik voor verschillende diensten altijd een nieuw en uniek wachtwoord. Om de vele wachtwoorden te beheren gebruikt u het beste een wachtwoordmanager.

Hoe controleert de PVM mijn wachtwoord?

De PVM stuurt uw wachtwoord niet over het internet op, maar maakt gebruik van de database en bijbehorende webservices van haveibeenpwned. Op de website vindt u Engelstalige uitleg over de werking en herkomst van de gegevens. Voor de controle wordt een cryptografische hash van uw wachtwoord opgestuurd naar de haveibeenpwned service. De hash wordt voor verzending ingekort tot 5 tekens. Daardoor komt niemand uw wachtwoord te weten. De controle vindt plaats door de circa 300 geretourneerde hashes met dezelfde eerste 5 tekens van daadwerkelijk onveilige wachtwoorden in de PVM te doorzoeken op de complete hash van uw wachtwoord. Komt deze niet voor, dan is het wachtwoord niet bekend geworden in een van de vele lekken in de afgelopen jaren. Komt uw wachtwoord wel voor, dan is het onveilig en kunnen we u daarvoor waarschuwen.

 

categorie: Certificaten, PVM

Uit datalekken worden echte gebruikersgegevens openbaar. Daarbij komen soms e-mailadressen en wachtwoorden op straat te liggen. De website haveibeenpwned.com stelt een API beschikbaar om te verifiëren of een wachtwoord bekend is geworden in een datalek. Als dat zo is, moet het wachtwoord niet meer gebruikt worden. De PVM controleert met behulp van de HIBP of het certificaatwachtwoord nog veilig is. De verbinding naar de API wordt via https://www.zorgttp.nl gelegd, mocht dat niet lukken dan wordt een tweede poging gewaagd op api.pwnedpasswords.com.

De controle vindt één keer per week plaats, wijziging van certificaat of wachtwoord en bij het aanmaken van een nieuw certificaat.

categorie: Certificaten

De afkorting staat voor Online Certificate Status Protocol en het betreft een dienst die alle CA’s aan­bieden om op elk gewenst moment na te gaan of een certificaat dat door hen is uitgegeven wellicht is ingetrokken.

De CA vermeldt bij het aanmaken van een certificaat in dat certificaat de URL voor het bereiken van de OCSP dienst die erop van toepassing is. Bovendien wordt de URL voor de intrekkingslijst daarin ge­noemd, de CRL. De Certificate Revocation List is een ouder mechanisme voor controle op intrekking. Het gebruik van OCSP verdient de voorkeur, de CRL wordt geboden als back-up.

Digitale certificaten worden uitgegeven met een bepaalde geldigheidsperiode. Die periode is meestal twee of drie jaar. In zeldzame gevallen dat een certificaat vóór het einde van de geldigheidsperiode in verkeerde handen is gevallen, wordt het certificaat ingetrokken. Dat betekent dat de CA registreert dat het certificaat ongeldig is geworden. Deze informatie wordt gepubliceerd door middel van OCSP en CRL. Het is een veiligheidsmaatregel om steeds op intrekking te controleren voordat een certificaat daad­werkelijk vertrouwd wordt.

Bij gebruik van de PVM wordt OCSP gebruikt voor controle op intrekking van de TLS servercertificaten en de afnemercertificaten. Potentieel zijn daarbij vier verschillende CA’s betrokken. Bovendien wordt de hele keten met soms een lengte van drie certificaten voor TLS gecontroleerd. De huidige stand van zaken is dat de onderstaande URL’s van toepassing zijn:

QuoVadis ocsp.quovadisglobal.com afnemercertificaten
DigiCert ocsp.digicert.com zorgttp.nl
Global Sign ocsp.globasign.com
ocsp2.globalsign.com
disportal.nl
(alleen van toepassing op PVM DIS)

De communicatie voor het raadplegen van OCSP of de CRL vindt plaats op basis van http zonder TLS. Dat is de normale gang van zaken zodat het gebruikt kan worden vóórdat een veilige verbinding tot stand komt. De integriteit van de informatie wordt met behulp van digitale ondertekening door de CA gerealiseerd.

Vanwege de omvang van beveiligd internet verkeer en de vele verbindingen die voortdurend tot stand worden gebracht, biedt een CA de OCSP dienst vaak via een Content Delivery Network aan. Dat betekent dat de actieve server die op enig moment het verzoek afhandelt van moment tot moment en locatie tot locatie, kan variëren. Wanneer firewall regels noodzakelijk zijn om de OCSP toe te staan, doe dat dan bij voorkeur op basis van de domeinnaam (FQDN) en niet op IP adres.

categorie: Certificaten

Ja, u kunt het certificaat opslaan in de cloud of op een USB-stick, zodat u het certificaat op verschillende werkplekken kunt gebruiken. Hiervoor heeft u ook het bijbehorende wachtwoord nodig.

categorie: Certificaten

U kunt hier een activatiecode aanvragen voor een nieuw certificaat.

categorie: Certificaten
  • Open de PVM
  • Klik op instellingen en vervolgens op het tabblad certificaat aanmaken
  • Voer de gegevens en de activatiecode in en archiveer het wachtwoord
  • Klik vervolgens op creëer certificaat
  • Uw certificaat is nu aangemaakt en gereed voor gebruik   
categorie: Certificaten

De door ZorgTTP uitgegeven certificaten zijn 3 jaar geldig.

categorie: Certificaten

Een digitaal certificaat is een computerbestand dat fungeert als een digitaal paspoort. Hiermee kunnen wij vaststellen dat een bestand van u afkomstig is.

categorie: Certificaten

Load More