Ict-systemen van de overheid dienen voor het einde van 2024 gebruik te maken van de standaard resource public key infrastructure (rpki) om de internetroutering van de overheid veiliger te maken. Het betekent dat rpki niet alleen bij nieuwe aanschaffen vereist is, maar ook op alle bestaande overheidssystemen geïmplementeerd moet worden.
Rpki helpt bepaalde route-lekken en gijzelingen te voorkomen. Het gaat om gevallen waarbij internetverkeer wordt omgeleid naar de systemen van een niet-geautoriseerd netwerk. Ze kunnen het gevolg zijn van een simpele typefout van een netwerkbeheerder, of van een doelgerichte aanval. Bijvoorbeeld om websites onbereikbaar te maken of om gegevens van internetgebruikers afhandig te maken.
Een voorbeeld is een incident waarbij een set ip-adressen van het ministerie van Buitenlandse Zaken in 2014 tijdelijk gekaapt werd door een Bulgaarse netwerkbeheerder. Bij een ander voorbeeld in 2019 werd netwerkverkeer van onder andere KPN omgeleid naar China Telecom.
Hoe werkt rpki?
Rpki gebruikt digitale certificaten. Die geven aan naar welke netwerkprovider het internetverkeer voor een bepaald ip-adres verstuurd dient te worden. Deze certificaten worden centraal opgeslagen, wat het voor netwerkproviders wereldwijd mogelijk maakt de routes van internetverkeer te valideren. Hiermee beveiligt rpki een fundamenteel onderdeel van internet.
Ook voor bestaande systemen
Sinds 2019 staat rpki op de ‘pas toe of leg uit’-lijst en moeten overheidsorganisaties het eisen tijdens de aanschaf van ict-diensten/-systemen. De nieuwe afspraak van het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) betekent dat rpki ook op alle bestaande overheidssystemen geïmplementeerd moet worden. Naast het zelf publiceren van rpki-autorisatiecertificaten, moeten netwerken van de overheid ook deze certificaten van anderen valideren.
‘De overheid spreekt met deze afspraak een duidelijke ambitie uit om bij te dragen aan de betrouwbaarheid van internetconnectiviteit’, aldus Benno Overeinder, directeur NLnet Labs en lid van Forum Standaardisatie. ‘Het implementeren van deze eerste rpki-gebaseerde maatregelen zal bijdragen aan de beschikbaarheid van de digitale overheid. Het legt ook een stevige basis voor toekomstige adoptie van moderne internetstandaarden, waar mijn organisatie dagelijks aan werkt.’
Forum Standaardisatie voerde in december 2022 een nulmeting uit. Hieruit bleek dat bijna tachtig procent van de overheidswebsites rpki volledig ondersteund, tegenover driekwart van de e-maildomeinen. Uit de cijfers bleek dat vooral lokale overheden nog stappen te zetten hebben.
Meer informatie hier.
