Wat is een certificeringsinstantie (CA)?

Een certificeringsinstantie (CA) is een vertrouwde organisatie die digitale certificaten uitgeeft en verifieert die worden gebruikt om de identiteit van websites te bewijzen, servers, personen of apparaten online.

Wat is een bevoegdheidscertificaat?

Een certificeringsinstantie is een vertrouwde derde partij binnen een public keys infrastructuur (PKI) die verantwoordelijk is voor het uitgeven, valideren en beheren van digitale certificaten. Wanneer een organisatie, website of gebruiker een certificaat aanvraagt, verifieert de CA hun identiteit met behulp van vooraf gedefinieerde validatieprocedures, zoals het controleren van domein eigendom, bedrijfsgegevens of juridische documentatie.

Na succesvolle verificatie ondertekent de CA een digitaal certificaat met zijn eigen privésleutel, waarmee de identiteit van het onderwerp aan zijn publieke sleutel wordt gekoppeld. Omdat besturingssystemen, browsers, en veel toepassingen Omdat een set vooraf vertrouwde "root"-CA's een aantal vooraf vertrouwde "root"-CA's omvat, wordt elk certificaat dat teruggrijpt op een van deze roots automatisch als betrouwbaar beschouwd. In de praktijk stelt dit gebruikers in staat te bevestigen dat ze met de juiste personen communiceren. server en om vast te stellen versleutelde verbindingen (bijvoorbeeld via HTTPS) zonder handmatig de sleutels te controleren.

Naast de uitgifte beheren CA's ook het intrekken van certificaten met behulp van mechanismen zoals certificaatintrekkingslijsten (CRL's) en het Online Certificate Status Protocol (OCSP). Zo kunnen gecompromitteerde of ongeldige certificaten worden gemarkeerd en niet langer worden vertrouwd.

Wat zijn de verschillende soorten certificeringsinstanties?

Verschillende soorten certificeringsinstanties werken samen om een schaalbare en beveiligde openbare sleutelinfrastructuur (PKI). Elk type vervult een specifieke rol in de vertrouwensketen, van het verankeren van wereldwijd vertrouwen tot het uitgeven van certificaten voor dagelijks gebruik.

Root-certificeringsinstantie (Root CA)

Een root-CA is de hoogste autoriteit in een PKI-hiërarchie en fungeert als het ultieme vertrouwensanker. Het rootcertificaat is zelfondertekend en vooraf geïnstalleerd in besturingssystemen, browsers en apparaten. Omdat elke inbreuk op een root-CA het vertrouwen in alle onderliggende certificaten zou ondermijnen, worden root-CA's doorgaans offline gehouden, zwaar beveiligd en alleen gebruikt om certificaten van tussenliggende CA's te ondertekenen in plaats van certificaten van eindentiteiten.

Tussenliggende (ondergeschikte) certificeringsinstantie

Een intermediaire CA, ook wel een subordinate CA genoemd, bevindt zich tussen de root-CA en de eindentiteitscertificaten die door websites, services of gebruikers worden gebruikt. De root-CA ondertekent het certificaat van de intermediaire CA, waarna de intermediaire CA verderop in de keten certificaten uitgeeft. Dit gelaagde ontwerp beperkt het risico, zodat de root-CA bij een gecompromitteerde intermediaire CA alleen dat intermediaire certificaat kan intrekken zonder de volledige PKI ongeldig te maken of de root-sleutels te vervangen.

Uitgevende certificeringsinstantie

Een uitgevende CA is de autoriteit die daadwerkelijk eindentiteitscertificaten ondertekent en uitgeeft voor servers, applicaties, apparaten of gebruikers. In sommige PKI-ontwerpen fungeert dezelfde CA als zowel intermediaire als uitgevende CA; in andere ontwerpen staan ​​uitgevende CA's los van beleids- of offline intermediaire CA's om rollen beter te isoleren en de blootstelling te verminderen. Uitgevende CA's voeren het grootste deel van het operationele werk uit, zoals het verwerken van certificaataanvragen, het toepassen van validatiebeleid en het beheren van verlengingen en intrekkingen.

Openbare (commerciële) certificeringsinstantie

Een openbare certificeringsinstantie (CA) is een commerciële of openbare provider waarvan de rootcertificaten worden vertrouwd door belangrijke browsers, besturingssystemen en apparaten. Deze CA's geven certificaten uit voor domeinen en organisaties op het openbare internet, volgens industriestandaarden (zoals de CA/Browser Forum Baseline Requirements) en ondergaan regelmatig audits. Wanneer u een geldig HTTPS-slotje in uw browser ziet, betekent dit meestal dat een openbare CA de identiteit van de site heeft gevalideerd en het TLS-certificaat heeft uitgegeven.

Privé (bedrijfs- of interne) certificeringsinstantie

Een privé-CA wordt door een organisatie beheerd voor eigen intern gebruik in plaats van voor het algemene publiek. Het rootcertificaat wordt niet automatisch vertrouwd door externe systemen, maar kan wel worden geïmplementeerd op bedrijfsapparaten. serversen applicaties om een ​​interne vertrouwensomgeving te creëren. Privé-CA's worden vaak gebruikt om certificaten uit te geven voor interne services. VPN's, Wi-Fi authenticatie, apparaatbeheer en gebruikersauthenticatie, waardoor organisaties meer controle hebben over beleid, levensduur en gebruik, terwijl de kosten voor het uitgeven van certificaten en afhankelijkheden intern blijven.

Voorbeeld van een certificeringsinstantie

Een concreet voorbeeld van een certificeringsinstantie is Laten we versleutelenHet is een non-profit CA die wordt beheerd door de Internet Security Research Group (ISRG) en die gratis, geautomatiseerde TLS/SSL-certificaten voor iedereen die een domein bezit.

Let's Encrypt geeft voornamelijk 'domeingevalideerde' certificaten uit. Dat wil zeggen dat het alleen bevestigt dat de aanvrager de controle heeft over het domein, en niet per se over zijn of haar volledige identiteit. Het doel van Let's Encrypt is om gecodeerde verbindingen de standaard te maken voor het web.

Wat is het doel van een certificeringsinstantie?

Het doel van een certificeringsinstantie is om op te treden als een vertrouwde derde partij die garant staat voor digitale identiteiten, zodat veilige communicatie mogelijk is via onbetrouwbare netwerken zoals het internet. Een certificeringsinstantie (CA) verifieert of een openbare sleutel daadwerkelijk toebehoort aan een specifiek domein, organisatie of gebruiker en geeft vervolgens een digitaal certificaat uit dat deze identiteit aan de sleutel koppelt. Omdat besturingssystemen, browsers en applicaties zijn geconfigureerd om bepaalde CA's te vertrouwen, kunnen ze deze certificaten automatisch valideren en versleutelde verbindingen tot stand brengen (bijvoorbeeld via HTTPS) zonder handmatige controles.

In de praktijk betekent dit dat de belangrijkste rol van de CA is om authenticatie mogelijk te maken (u spreekt met de juiste partij), vertrouwelijkheid (gegevens worden gecodeerd) en integriteit (gegevens worden niet gewijzigd tijdens de overdracht) bij online interacties.

Hoe werkt een certificeringsinstantie?

Een certificeringsinstantie verifieert identiteiten en gebruikt vervolgens geheimschrift om deze identiteiten aan publieke sleutels te koppelen, zodat andere systemen ze automatisch kunnen vertrouwenHet proces volgt een reeks stappen die een eenvoudig sleutelpaar omzetten in een vertrouwd digitaal certificaat, waaronder:

1. Generatie van sleutelparenDe organisatie, website of het apparaat genereert eerst een cryptografisch sleutelpaar: een privésleutel (geheim gehouden) en een publieke sleutel (gedeeld). Dit paar vormt de basis voor encryptie en digitale handtekeningen, waardoor wordt gewaarborgd dat alleen de houder van de privésleutel gegevens kan ontsleutelen of zijn identiteit kan bewijzen.
2. Aanmaken van een certificaatondertekeningsaanvraag (CSR). Vervolgens de eigenaar van het sleutelpaar Creëert een certificaatondertekeningsaanvraag (CSR). De CSR bundelt de openbare sleutel met identificerende informatie, zoals de domeinnaam en organisatiegegevens. Deze stap bereidt een gestandaardiseerd pakket voor dat de CA kan beoordelen en, indien goedgekeurd, kan ondertekenen.
3. Indiening bij de CADe CSR wordt naar de certificeringsinstantie gestuurd. Op dit punt weet de certificeringsinstantie welke identiteit wordt geclaimd (bijvoorbeeld een specifiek domein of bedrijf) en welke openbare sleutel aan die identiteit moet worden gekoppeld. Deze stap start formeel het validatieproces.
4. Identiteits- en domeinvalidatieDe CA verifieert vervolgens de controle van de aanvrager over het domein en kan, afhankelijk van het certificaattype, ook organisatiegegevens valideren (bijv. officiële naam, adres, bedrijfsgegevens). Deze stap is cruciaal omdat hiermee wordt bevestigd dat de entiteit die het certificaat aanvraagt, legitiem verbonden is met de opgegeven identiteit.
5. Certificaatuitgifte en ondertekeningZodra de validatie succesvol is, creëert de CA een digitaal certificaat dat de identiteitsgegevens van het onderwerp, de openbare sleutel, de geldigheidsperiode en andere gegevens bevat. metadataDe CA ondertekent dit certificaat met zijn eigen privésleutel. Deze stap koppelt de identiteit cryptografisch aan de publieke sleutel en maakt het certificaat verifieerbaar voor iedereen die de CA vertrouwt.
6. Installatie en gebruik van certificatenDe organisatie installeert het uitgegeven certificaat (en vaak ook eventuele tussenliggende CA-certificaten) op haar server of apparaat. Wanneer clients bijvoorbeeld verbinding maken via HTTPS, server presenteert dit certificaat. Met deze stap kunnen clients zien met wie ze verbinding maken en de juiste openbare sleutel voor veilige communicatie ophalen.
7. Clientvalidatie en doorlopend vertrouwensbeheer. De klant (browser, app of apparaat) controleert de handtekening, vertrouwensketen, geldigheidsdata en intrekkingsstatus van het certificaat aan de hand van de ingebouwde lijst met vertrouwde certificeringsinstanties (CA's). Als alles in orde is, wordt een versleutelde sessie gestart; zo niet, dan wordt de gebruiker gewaarschuwd. Na verloop van tijd onderhoudt de CA ook intrekkingslijsten en statusservices (CRL/OCSP) om gecompromitteerde of verlopen certificaten te markeren, waardoor het vertrouwen in het systeem als geheel behouden blijft.

Aanbevolen procedures voor certificeringsinstanties

Certificaatautoriteiten moeten strikte operationele en beveiligingsprocedures volgen om betrouwbaar te blijven. Goede CA-hygiëne beschermt privésleutels, verkleint het aanvalsrisico en zorgt ervoor dat uitgegeven certificaten de werkelijke identiteit nauwkeurig weergeven. Dit zijn de beste werkwijzen om te implementeren:

• Bescherm root-CA-sleutels offlineBewaar root-CA-sleutels op zeer beveiligde, offline systemen (of hardware beveiligingsmodules) en gebruik ze alleen om tussenliggende CA-certificaten te ondertekenen. Dit minimaliseert de blootstelling: als een online systeem wordt gecompromitteerd, hebben aanvallers geen directe toegang tot de rootsleutel.
• Gebruik hardwarebeveiligingsmodules (HSM's)Sla CA-privésleutels op en gebruik ze in gecertificeerde HSM's in plaats van in software of op algemene serversHSM's bieden bescherming tegen manipulatie, sterke toegangscontrole en veilige sleutelbewerkingen, waardoor het risico op sleuteldiefstal of misbruik aanzienlijk wordt verminderd.
• Gescheiden root-, tussenliggende en uitgevende CA'sOntwerp een hiërarchie waarbij de root-CA's de tussenliggende CA's ondertekenen en de tussenliggende/uitgevende CA's de dagelijkse certificaatuitgifte afhandelen. Deze scheiding stelt u in staat een gecompromitteerde of verkeerd geconfigureerde tussenliggende CA in te trekken of te vervangen zonder het vertrouwen in de gehele PKI te schaden.
• Handhaaf sterke validatieproceduresPas duidelijke, gedocumenteerde identiteitsvalidatiebeleidsregels toe voor elk certificaattype (DV, OV, EV, intern). Consistente controles op domeinbeheer en organisatie-identiteit voorkomen frauduleuze certificaten en zorgen voor voorspelbare betrouwbaarheidsniveaus.
• Strikte toegangscontrole en auditing implementerenBeperk wie certificaten kan goedkeuren, uitgeven of intrekken en handhaaf deze. multi-factor authenticatie voor administratieve toegang. Uitgebreide logging en regelmatige audits helpen misbruik, beleidsovertredingen of verdachte uitgiftepatronen op te sporen.
• Zorg voor tijdige intrekkingsmechanismen. Publiceer nauwkeurige certificaatintrekkingslijsten (CRL's) en ondersteun het online certificaatstatusprotocol (OCSP) met goede beschikbaarheid en prestaties. Snelle intrekking zorgt ervoor dat gecompromitteerde, verkeerd uitgegeven of verouderde certificaten snel als onbetrouwbaar worden gemarkeerd.
• Toezicht houden op de uitgifte en het gebruik van certificaattransparantie (CT)Registreer openbare certificaten in certificaattransparantielogs en controleer ze op afwijkingen (onverwachte domeinen, typfouten of beleidsovertredingen). Deze open zichtbaarheid helpt bij het detecteren van foutieve uitgifte en ondersteunt snelle oplossingen.
• Houd software en configuraties gehardPatch CA-systemen regelmatig, schakel zwakke cryptografische algoritmen uit en handhaaf moderne sleutelgroottes en TLS-configuraties. Beveiliging verkleint de kans dat aanvallers verouderde software of zwakke cryptografie kunnen misbruiken om de CA te compromitteren.
• Regelmatig audits en nalevingscontroles door derden uitvoerenOnderwerp CA-activiteiten aan onafhankelijke beveiligings- en nalevingsaudits (bijv. WebTrust, ETSI, CA/B Forum-vereisten voor openbare CA's). Externe controle valideert dat beleid in de praktijk wordt nageleefd en draagt ​​bij aan het behoud van vertrouwen bij browsers en vertrouwende partijen.
• Definieer duidelijke procedures voor de levenscyclus en het reageren op incidentenDocumenteer hoe sleutels en certificaten worden gegenereerd, geroteerd, vernieuwd en ingetrokken, en stel een draaiboek op voor het omgaan met sleutelcompromittering of foutieve uitgifte. Een goed gedefinieerd levenscyclus- en responsplan zorgt voor consistent gedrag onder normale omstandigheden en tijdens beveiligingsincidenten.

Hoe vind ik een certificeringsinstantie?

U kunt een certificeringsinstantie vinden op basis van waar en hoe u digitale certificaten wilt gebruiken. De meeste organisaties vertrouwen op openbare certificeringsinstanties (CA's) die al vertrouwd worden door browsers en besturingssystemen. Deze vertrouwde aanbieders staan ​​vermeld in de 'root-certificaatopslag' die is ingebouwd in belangrijke platforms. Dit betekent dat de certificaten die zij uitgeven automatisch worden geaccepteerd op het openbare internet. Veel bekende beveiligingsleveranciers opereren als openbare CA's en bieden verschillende validatieniveaus, afhankelijk van uw behoeften.

In interne of private omgevingen kan een organisatie een eigen private CA opzetten met behulp van tools zoals Microsoft Active Directory Certificate Services of speciale PKI-platforms en vervolgens het rootcertificaat distribueren naar bedrijfsapparaten. In beide gevallen is het doel om een ​​CA te kiezen die u vertrouwt om identiteiten veilig te verifiëren en het beheer van de levenscyclus van certificaten betrouwbaar te ondersteunen.

De voordelen en uitdagingen van CA

Certificeringsinstanties bieden duidelijke voordelen door betrouwbare encryptie, authenticatie en integriteit voor online communicatie mogelijk te maken, maar ze introduceren ook afhankelijkheden en risico's die zorgvuldig beheerd moeten worden. Inzicht in zowel de voordelen als de uitdagingen van certificeringsinstanties helpt organisaties bij het ontwerpen van een PKI die veilig, veerkrachtig en afgestemd is op hun beveiligings- en compliancebehoeften.

Wat zijn de voordelen van het gebruik van een certificeringsinstantie?

Het gebruik van een certificeringsinstantie biedt een gestructureerde manier om digitaal vertrouwen op grote schaal te creëren. certificeringsinstanties maken het voor gebruikers, systemen en organisaties praktisch om elkaar te authenticeren en gegevens te beschermen via niet-vertrouwde netwerken. Dit zijn de belangrijkste voordelen:

• Sterke authenticatie van identiteitenEen CA verifieert dat een openbare sleutel toebehoort aan een specifiek domein, organisatie of gebruiker en koppelt die identiteit vervolgens aan de sleutel in een certificaat. Dit geeft klanten de zekerheid dat ze verbinding maken met de juiste server of dienst, geen bedrieger.
• Versleutelde communicatie via niet-vertrouwde netwerkenCertificaten uitgegeven door een CA maken het mogelijk dat protocollen zoals HTTPS, TLS en VPN's versleutelde kanalen opzetten. Dit beschermt gegevens tijdens de overdracht tegen afluisteren en onderscheppen, zelfs wanneer het verkeer openbare netwerken zoals het internet of gedeelde netwerken doorkruist. Wi-Fi.
• Integriteits- en manipulatiedetectieCertificaten met CA-ondertekening maken gebruik van digitale handtekeningen waarmee clients kunnen verifiëren dat de inhoud van het certificaat niet is gewijzigd. In combinatie met TLS zorgt dit ervoor dat gegevens die tijdens een sessie worden uitgewisseld, niet onopgemerkt kunnen worden gewijzigd.
• Schaalbaar, geautomatiseerd vertrouwensmodelOmdat besturingssystemen en browsers worden geleverd met vooraf vertrouwde root-CA's, worden certificaten die teruggrijpen op die roots automatisch geaccepteerd. Dit maakt wereldwijde, grootschalige implementatie van beveiligde verbindingen mogelijk zonder dat gebruikers handmatig sleutels hoeven te beheren.
• Ondersteuning voor naleving en wettelijke vereisten. Veel regelgevingen en beveiligingskaders (zoals PCI DSS, HIPAA, en ISO 27001) verwachten of vereisen versleutelde communicatie en sterke authenticatie. Het gebruik van een gerenommeerde CA helpt organisaties om aan deze eisen te voldoen en due diligence aan te tonen.
• Gecentraliseerd beheer van de levenscyclus van certificatenCA's bieden tools en processen voor het uitgeven, verlengen en intrekken van certificaten. Dit gecentraliseerde levenscyclusbeheer maakt het eenvoudiger om encryptie up-to-date te houden, sleutels regelmatig te roteren en snel te reageren als een certificaat of sleutel gecompromitteerd is.
• Interoperabiliteit tussen platforms en ecosystemenCertificaten van bekende CA's werken op verschillende besturingssystemen, browsers, apparaten en applicaties. Dit interoperabiliteit maakt het mogelijk om veilige services te bouwen die toegankelijk zijn voor verschillende gebruikers en clients, zonder aangepaste vertrouwensinstellingen.

Wat zijn de uitdagingen bij het gebruik van een certificeringsinstantie?

Het gebruik van certificeringsinstanties brengt ook uitdagingen met zich mee die organisaties moeten begrijpen en beheren. Deze problemen hebben meestal te maken met operationele complexiteit, beveiligingsrisico's en de afhankelijkheid van externe vertrouwensankers:

• Enkele punten van vertrouwen en falenEen CA wordt een centraal vertrouwensanker: als deze gecompromitteerd, verkeerd geconfigureerd of onjuist gedraagt, kunnen meerdere certificaten en systemen tegelijk worden getroffen. Incidenten met openbare CA's kunnen noodintrekkingen en massale certificaatvervangingen via internet afdwingen.
• Operationele complexiteit en overheadHet uitvoeren of integreren met een CA omvat het beheer van sleutelparen, certificaataanvragen, verlengingen, intrekkingen en beleidshandhaving. Zonder goede tools en processen worstelen teams met verlopen certificaten, inconsistente configuraties en handmatige 'brandoefeningen'.
• Risico op verkeerde uitgifte en menselijke foutenZwakke validatieprocedures of fouten in identiteitscontroles kunnen ertoe leiden dat certificaten aan de verkeerde partij worden uitgegeven. Verkeerd uitgegeven certificaten kunnen imitatie mogelijk maken (bijvoorbeeld via frauduleuze HTTPS-sites) en vereisen vaak snelle intrekking en openbare afhandeling van incidenten.
• Uitdagingen op het gebied van sleutelbeheer en -beschermingCA-privésleutels moeten worden beschermd met behulp van HSM's, strikte toegangscontroles en sterke interne beveiliging. Elk lek of misbruik van deze sleutels ondermijnt de gehele PKI, maar het handhaven van dat beschermingsniveau op lange termijn is veeleisend en duur.
• Effectiviteit en prestaties van de intrekkingHerroepingsmechanismen zoals CRL's en OCSP zijn niet altijd betrouwbaar of snel. Clients negeren mogelijk herroepingscontroles, vallen terug op 'soft fail' of ervaren problemen. latency en beschikbaarheidsproblemen, waardoor ingetrokken certificaten in de praktijk nog steeds betrouwbaar zijn.
• Afhankelijkheid van extern beleid en auditsOrganisaties die afhankelijk zijn van openbare CA's moeten erop vertrouwen dat deze CA's strenge beveiligingspraktijken hanteren, zich houden aan industrienormen en regelmatig audits doorstaan. Beleidswijzigingen, gevallen van wantrouwen of ecosysteemregels (bijv. browservereisten) kunnen onverwachte migraties afdwingen.
• Schaalbaarheid en automatisering op grote schaalIn omgevingen met duizenden services en korte certificaatlevensduur is uitgebreide automatisering nodig om certificaten vernieuwd en correct geïmplementeerd te houden (bijvoorbeeld ACME, DevOps Zonder deze integratie worden uitval vanwege verlopen certificaten een constant risico.
• Interoperabiliteit en legacy-beperkingenNiet alle klanten ondersteunen dezelfde algoritmen, sleutelgroottes of moderne PKI-functies. Het afwegen van compatibiliteit met oudere systemen tegen best practices voor beveiliging (bijvoorbeeld het uitfaseren van zwakke cijfers of SHA-1) kan de configuratie en migratieplanning van CA's compliceren.

Veelgestelde vragen over certificeringsinstanties

Hier vindt u de antwoorden op de meestgestelde vragen over certificeringsinstanties.

Zijn gratis certificeringsinstanties veilig?

Gratis certificeringsinstanties kunnen veilig zijn zolang ze een goede reputatie hebben, breed vertrouwd worden door de belangrijkste browsers en besturingssystemen, en strenge beveiligings- en validatienormen hanteren. Het "gratis" aspect weerspiegelt meestal hun bedrijfsmodel of missie (bijvoorbeeld het automatiseren en democratiseren van HTTPS), niet standaard een zwakkere beveiliging. U moet echter nog steeds de best practices volgen: bescherm uw privésleutels, gebruik HTTPS correct, houd uw software up-to-date en zorg ervoor dat u alleen certificaten verkrijgt van certificeringsinstanties die zijn opgenomen in standaard trust stores en een solide staat van dienst hebben op het gebied van audits en compliance.

Wat moet u doen als een certificeringsinstantie wordt gehackt?

Als een certificeringsinstantie wordt gehackt, is de eerste prioriteit het intrekken van mogelijk gecompromitteerde certificaten en sleutels en het vervangen ervan door nieuwe certificaten en sleutels die zijn uitgegeven door een vertrouwde certificeringsinstantie of een nieuw beveiligde infrastructuur. Organisaties moeten de getroffen systemen snel bijwerken, certificaten opnieuw implementeren, sleutels roteren en verifiëren dat klanten de gecompromitteerde certificeringsinstantie niet langer vertrouwen. Communicatie en coördinatie zijn essentieel, aangezien vertrouwende partijen geïnformeerd moeten worden zodat ze de certificaten en sleutels kunnen verwijderen. geschonden CA uit hun trust stores en voorkomen dat aanvallers vervalste of verkeerd uitgegeven certificaten gebruiken om legitieme services te imiteren.

Hoe lang moet een certificeringsinstantie geldig zijn?

Hoe lang een certificeringsinstantie geldig moet zijn, hangt af van haar rol in de PKI-hiërarchie en hoe u op de lange termijn stabiliteit in evenwicht brengt met veiligheid en flexbaarheid. Hier zijn enkele typische richtlijnen.

Een root-CA-certificaat heeft vaak een lange geldigheidsduur, meestal 10-25 jaar, omdat het dient als het ultieme vertrouwensanker en frequente vervanging ervan een herimplementatie van het vertrouwen op alle clients zou vereisen. Voor een ondergeschikte (intermediaire of uitgevende) CA is een kortere geldigheidsduur verstandiger, vaak ongeveer de helft van de levensduur van de root-CA (bijvoorbeeld als de basisperiode 20 jaar is, kan de tussenperiode 10 jaar zijn), om de blootstelling te beperken en geplande hernieuwingen beheersbaar te maken.

Een kortere geldigheidsduur van CA-certificaten helpt toekomstige cryptografische risico's of wijzigingen in beveiligingsnormen te beperken. Er is nog steeds voldoende tijd om het vertrouwen te behouden zonder dat certificaten vaak hoeven te worden verlengd.