Handleiding sleutelrotatie
Auteur: Vorderingenoverzicht Rijk
Versie: 20260715
Inleiding
Een bronorganisatie kan er voor kiezen om een nieuw sleutelpaar aan te maken. De reden kan zijn:
- Een beleidskeuze om met een bepaald interval altijd een nieuw sleutelpaar aan te maken.
- Een incident waarbij de privé sleutel is gecompromitteerd.
Het roteren van de sleutel heeft automatisch tot gevolg dat de bronorganisatie zich opnieuw moet aanmelden bij het stelsel. Om deze periode zo kort mogelijk te houden, is het van belang om dit proces samen met de stelselbeheerder gecoördineerd uit te voeren.
NB: zie handleiding aanmelden voor praktische informatie over het aanmelden bij het stelsel.
Proces
Stappen
Hieronder worden de stappen die bij de bronorganisatie staan verder uitgelegd.
Pre-conditie
Het uitgangspunt bij dit proces is, dat een organisatie al een actieve registratie heeft bij het stelsel
Aankondiging sleutelrotatie
Voordat de sleutelrotatie wordt gestart, moet er eerst met de stelselbeheerder worden afgestemd.
De stelselbeheerder maakt afspraken met de bronorganisatie over:
- Wanneer de sleutelrotatie en de daaropvolgende aanmelding plaatsvindt.
- Wie de bronorganisatie vertegenwoordigt bij de goedkeuring van de aanmelding (naam en contactgegevens).
- Het te gebruiken kanaal voor de goedkeuring. Dit kan op een gezamenlijke locatie zijn of via een veilige (video-) verbinding.
Trek actieve sleutelpaar in
Het actieve sleutelpaar wordt eerst ingetrokken.
Genereer een nieuw sleutelpaar
Er wordt een nieuw sleutelpaar gegenereerd.
Genereer aanmeldverzoek
Er wordt nu een aanmeldverzoek aangemaakt.
Selecteer sleutel
Het aanmeldverzoek moet ondertekend worden met de juiste, nieuwe sleutel.
Onderteken aanmeldverzoek
Het aanmeldverzoek wordt ondertekend met de gekozen sleutel. Hiermee wordt het aanmeldverzoek ook voorzien van de juiste, nieuwe publieke sleutel die meegestuurd wordt.
Opslaan aanmeldverzoek
Het aanmeldverzoek wordt opgeslagen in het bk-management systeem dat bij de bronorganisatie draait.
Verzoek tot verwijderen organisatie uit stelsel
Voordat een nieuwe aanmelding bij het stelsel kan worden gestart, moet de actieve registratie worden verwijderd. Hiervoor moet contact worden opgenomen door de afgesproken vertegenwoordiger van de bronorganisatie met de stelselbeheerder.
Registreren aanmeldverzoek
❗️NB: Nadat de stelselbeheerder heeft bevestigd dat de actieve registratie is verwijderd, kan deze stap worden uitgevoerd.
Het aanmeldverzoek wordt nu naar de stelselbeheerder gestuurd. De benodigde URL is bij de configuratie van de bk-management componenten ingesteld.
Vanaf dit moment is de stelselbeheerder aan zet. De stelselbeheerder neemt contact op met de bronorganisatie om een afspraak te maken.
Controleer validiteit van de aanmelding
De stelselbeheerder gaat samen met de bronorganisatie een controle doen op een aantal gegevens. Deze controle vindt op een locatie plaats waar beide partijen fysiek aanwezig zijn.
De gegevens die gecontroleerd worden:
- Is de vertegenwoordiger van de bronorganisatie de eerder afgesproken contactpersoon. Dit wordt gecheckt a.d.h.v. een identificatiebewijs van de vertegenwoordiger.
- Is de juiste OIN gebruikt
- Komt de aangeleverde publieke sleutel overeen met de publieke sleutel die bij de bronorganisatie is opgeslagen. Hiervoor maken beide partijen een SHA256 hash aan van de publieke sleutel van de organisatie en vergelijken deze. De bronorganisatie kan de publieke sleutel uit de UI van Bronorganisatiebeheer halen. Zie handleiding.
- Is de service discovery URL correct en benaderbaar.
Als deze gegevens correct zijn, wordt de aanmelding van de bronorganisatie goedgekeurd.
Ververs status
In het bk-management scherm bij de bronorganisatie is de status van aanmelding zichtbaar. Deze kan ververst worden om de voortgang in de gaten te houden.
Status vastleggen
Het systeem legt de opgevraagde status vast bij de aanmelding.
Controleer status aanmeldverzoek
De beheerder bij de bronorganisatie moet de status controleren. De volgende situaties kunnen zich voordoen:
- Status Aangemeld: het aanmeldverzoek is succesvol ontvangen, maar nog niet beoordeeld.
- Status Geaccepteerd: het aanmeldverzoek is goedgekeurd, maar nog niet gepubliceerd. De bronorganisatie is nog niet bekend in het stelsel en kan nog niet bevraagd worden.
- Status Gepubliceerd: de bronorganisatie is bekend in het stelsel en kan bevraagd worden. Hiermee is de aanmelding succesvol afgerond en eindigt het proces.
- Status Niet aangemeld: als de status van Aangemeld naar Niet aangemeld gaat dan betekent dat de stelselbeheerder de aanmelding heeft afgekeurd. Hiermee is de aanmelding niet succesvol en de bronorganisatie zal zich opnieuw moeten aanmelden. Hiermee eindigt het proces.