Skip to content

Commit e0f6adc

Browse files
Nil-NMB01Nil-NMB01
authored
Beheer: Add updated TLS Security Regulations (#16)
1 parent db70412 commit e0f6adc

File tree

4 files changed

+16
-19
lines changed

4 files changed

+16
-19
lines changed

‎02_documentbeheer.md

Lines changed: 1 addition & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -8,3 +8,4 @@
88
| 01/09/2020 | 1.3 | Logius | PKIO Private Root certificaten toegevoegd |
99
| 01/02/2021 | 1.4 | Logius | Alleen PKIO Private Root toegestaan. Verwijzing naar meest recente versie van [[NCSC 2021]]. Vorige versie was [[?NCSC 2019]]|
1010
| 15/05/2025 | 2.0 | Logius | Uitfasering 3DES|
11+
| 24/06/2025 | 2.0.1 | Logius | Aanpassing n.a.v. NCSC TLS 2025 Richtlijnen. Verwijzing naar meest recente versie van [[NCSC 2025]]. Vorige versie was [[NCSC 2021]]|

‎ch04_TLS .md

Lines changed: 5 additions & 7 deletions
Original file line numberDiff line numberDiff line change
@@ -6,8 +6,8 @@ Transport Layer Security (TLS) is een protocol dat een veilige versleutelde verb
66

77
| Standaarden | Status | Bron |
88
| --- | --- | --- |
9-
| TLS 1.2 [[rfc5246]] | Verplicht | [[NCSC 2021]] |
10-
| TLS 1.3 [[rfc8446]] | Optioneel | [[NCSC 2021]] |
9+
| TLS 1.2 [[rfc5246]] | Verplicht | [[NCSC 2025]] |
10+
| TLS 1.3 [[rfc8446]] | Optioneel | [[NCSC 2025]] |
1111
| HTTP over TLS Transport Layer Security<br>([[rfc2818]], [[rfc5785]], [[rfc7230]]) | Informational | IETF [[rfc5322]]|
1212

1313
## Digikoppeling voorschriften
@@ -17,12 +17,10 @@ Transport Layer Security (TLS) is een protocol dat een veilige versleutelde verb
1717
| TLS001 | Authenticatie is verplicht met TLS en PKIoverheid certificaten | |
1818
| TLS002 | Tweezijdig TLS is verplicht | Digikoppeling schrijft het gebruik van twee-zijdig TLS voor en verplicht dit voor alle vormen van berichtuitwisseling via Digikoppeling. |
1919
| TLS003 | De TLS implementatie mag niet op SSL v3 en eerdere versies terugvallen | Backward compatibility mode voor SSL v3 en eerdere versies dient te worden uitgezet. |
20-
| TLS004 | Een Serviceaanbieder is <span class="underline">verplicht</span> TLS versie 1.2 te ondersteunen, daarnaast is het <span class="underline">aanbevolen</span> voor een Serviceaanbieder om TLS versie 1.3 te ondersteunen. Als een Serviceaanbieder TLS versie 1.3 aanbiedt dan is het aanbevolen voor Serviceafnemers om TLS 1.3 te gebruiken | NCSC geeft aan: “De beste bescherming wordt momenteel geboden door de meest recente TLS versie: TLS 1.3” Zie [[NCSC 2021]] |
20+
| TLS004 | Een Serviceaanbieder is <span class="underline">verplicht</span> TLS versie 1.2 te ondersteunen, daarnaast is het <span class="underline">aanbevolen</span> voor een Serviceaanbieder om TLS versie 1.3 te ondersteunen. Als een Serviceaanbieder TLS versie 1.3 aanbiedt dan is het aanbevolen voor Serviceafnemers om TLS 1.3 te gebruiken | NCSC geeft aan: “Configureer het gebruik van TLS 1.2 ter ondersteuning van oudere clients, maar geef de voorkeur aan TLS 1.3 waar mogelijk [6]. Andere versies zijn niet veilig in het gebruik.” Zie [[NCSC 2025]]|
2121
||TLS 1.0 en TLS 1.1 zijn niet meer toegestaan|Niet meer toegestaan binnen de Digikoppeling standaard vanaf 10-9-2016 |
2222
| TLS005 | Het is verplicht voor communicatie over HTTPS port 443 te gebruiken | Port 443 is de standaard poort voor HTTPS verkeer |
23-
| TLS006 | Het is verplicht te voldoen aan de NCSC ICT-beveiligingsrichtlijnen voor TLS | Zie H3 van [[NCSC 2021]] (*) |
24-
25-
(*) Zie https://www.ncsc.nl/documenten/publicaties/2023/september/18/maak-je-organisatie-quantumveilig voor specifieke adviezen NCSC/AIVD t.a.v. Post Quantum Cryptografie
23+
| TLS006 | Het is verplicht te voldoen aan de NCSC ICT-beveiligingsrichtlijnen voor TLS | Zie [[NCSC 2025]]|
2624

2725
## Onderbouwing
2826

@@ -32,5 +30,5 @@ In Digikoppeling is ervoor gekozen om PKIoverheid certificaten te gebruiken op h
3230

3331
## Overwegingen
3432

35-
Het NCSC adviseert om TLS altijd te configureren op basis van [[NCSC 2021]] voor Transport Layer Security.
33+
Het NCSC adviseert om TLS altijd te configureren op basis van [[NCSC 2025]] voor Transport Layer Security.
3634

‎ch05_Cipher suites voor TLS, signing en encryptie .md

Lines changed: 4 additions & 4 deletions
Original file line numberDiff line numberDiff line change
@@ -4,24 +4,24 @@
44

55
| Nr | Voorschrift | Toelichting |
66
| --- | --- | --- |
7-
| TLSCIPH001 | De gebruikte TLS cryptografische algoritmen moeten de NCSC classificatie ‘voldoende’ of ‘goed’ hebben. TLS-cryptografische algoritmen die de NCSC-classificatie ‘uit te faseren’ hebben, zijn sinds 1 januari 2021 niet meer toegestaan. | Zie [[NCSC 2021]] |
7+
| TLSCIPH001 | De gebruikte TLS cryptografische algoritmen moeten de NCSC classificatie ‘voldoende’ of ‘goed’ hebben. TLS-cryptografische algoritmen die de NCSC-classificatie ‘uit te faseren’ hebben, zijn sinds 1 januari 2021 niet meer toegestaan. | Zie [[NCSC 2025]] |
88

99
## XML Signing
1010

1111
### Digikoppeling voorschriften voor XML signing
1212

1313
| Nr | Voorschrift | Toelichting |
1414
| --- | --- | --- |
15-
| SIGN001 | Signing met SHA-2 is verplicht. | Minimaal SHA-224 of SHA-256. |
15+
| SIGN001 | Signing met SHA-2 is verplicht. | Minimaal SHA 224 of SHA-256. |
1616
| SIGN002 | Signing conform XMLDSIG is verplicht | Zie de koppelvlakstandaarden signed profielen |
1717
| SIGN003 | Het DigestMethod Algorithm moet gebruik maken van een van de volgende algoritmen: SHA-224, SHA-256, SHA-384, SHA-512 [[xmlenc-core]], [[[FIPS-180-4]]]| Zie ook [https://www.w3.org/TR/xmldsig-core1/\#sec-DigestMethod](https://www.w3.org/TR/xmldsig-core1/#sec-DigestMethod) [[xmldsig-core1]] |
18-
| SIGN004 | Het SignatureMethod Algorithm kan gebruik maken van een van de volgende algoritmen: [SHA-224] [SHA-256] [SHA-384] [SHA-512] | Zie ook [https://www.w3.org/TR/xmldsig-core1/\#sec-DigestMethod](https://www.w3.org/TR/xmldsig-core1/#sec-DigestMethod) voor voorbeelden|
18+
| SIGN004 | Het SignatureMethod Algorithm kan gebruik maken van een van de volgende algoritmen: [SHA-224] [SHA-256] [SHA-384] [SHA-512] | Zie ook [https://www.w3.org/TR/xmldsig-core1/\#sec-DigestMethod](https://www.w3.org/TR/xmldsig-core1/#sec-DigestMethod) voor voorbeelden|
1919

2020
### Reden voor vervanging SHA-1 door SHA-2
2121

2222
*Certificaten met SHA-1 als hashfunctie worden vervangen door certificaten met hashfuncties uit de SHA-2-familie: SHA-256, SHA-384 en SHA-512. Certificaten met MD5 als hashfunctie zijn enkele jaren geleden al vervangen. MD5 is de voorloper van SHA-1. [[HTTPS-factsheet NCSC]]*
2323

24-
PKIoverheid stelt SHA-2 als eis. Alle certificaten die onder de root Staat der Nederlanden worden uitgegeven moeten voldoen aan SHA-2. In [[NCSC 2021]] wordt SHA-1 nog wel als ‘voldoende’ bestempeld voor hashing binnen een applicatie, maar voor signing is het onvoldoende.
24+
PKIoverheid stelt SHA-2 als eis. Alle certificaten die onder de root Staat der Nederlanden worden uitgegeven moeten voldoen aan SHA-2.
2525

2626
In plaats daarvan is het dus wenselijk om gebruik te maken van een algoritme dat als ‘goed’ is aangemerkt, dus:
2727

‎js/config.js

Lines changed: 6 additions & 8 deletions
Original file line numberDiff line numberDiff line change
@@ -13,18 +13,16 @@ var respecConfig = {
1313
"url" : "https://logius.nl/standaarden"
1414
},
1515
{
16-
"company" : "Logius",
17-
"companyURL" : "https://logius.nl/standaarden",
18-
"mailto" : "[email protected]",
19-
"name" : "Pieter Hering"
16+
"name" : "Nil Barua",
17+
"url" : "https://logius.nl/standaarden"
2018
}
2119
],
2220
github: "https://github.com/Logius-standaarden/Digikoppeling-Beveiligingsstandaarden-en-voorschriften",
23-
previousPublishDate: "2021-02-01",
24-
previousPublishVersion: "1.4.1",
21+
previousPublishDate: "2025-05-15",
22+
previousPublishVersion: "2.0.0",
2523
pubDomain: "dk",
26-
publishDate: "2025-05-15",
27-
publishVersion: "2.0.0",
24+
publishDate: "2025-06-24",
25+
publishVersion: "2.0.1",
2826
shortName: "beveilig",
2927
specStatus: "DEF",
3028
specType: "ST"

0 commit comments

Comments
 (0)