PKIoverheid truststores

Deze pagina bevat de truststore-bundel met de CA-certificaten van PKIoverheid Private Services voor het productie- en test-netwerk van Nuts. Onder die hiërarchie geeft PKIoverheid UZI-servercertificaten en andere private servercertificaten uit. De Nuts-node gebruikt de bundel om de TLS-certificaten van andere nodes op het gRPC-netwerk te controleren. De reverse proxy gebruikt de bundel om de client-certificaten te controleren van partijen die de FHIR- of andere data-endpoints aanroepen.

Op het test-netwerk (acceptatie) gelden dezelfde PKIoverheid Private Services-certificaten als op productie. Het stable-netwerk (non-production) gebruikt geen PKIoverheid-certificaten, maar certificaten van de Nuts development CA. De truststore daarvoor staat in nuts-foundation/nuts-development-network-ca. De testcertificaten van CIBG (TEST en ACCEPTATIE) zitten niet in de bundel: die worden op geen enkel Nuts-netwerk gebruikt.

De bundel is een PEM-bestand. Boven elk certificaat staat als commentaar het subject, de bron-URL en de SHA-256 thumbprint. TLS-bibliotheken (OpenSSL, Go, nginx, HAProxy, Traefik) negeren die regels.

Inhoud van de bundel

Binnen Nuts wordt ieder servercertificaat dat onder PKIoverheid Private Services is uitgegeven vertrouwd voor TLS-verbindingen, of dat nu door het UZI-register, KPN, DigiCert of Digidentity is gedaan. PKIoverheid noemt die uitgevers Trust Service Providers (TSP's). Daarom bevat de productiebundel de root-CA's, intermediate-CA's en TSP-CA's van al die uitgevers, niet alleen die van CIBG. De ZOVAR-CA's (certificaten voor zorgverzekeraars) zijn weggelaten om de bundel niet groter te maken dan nodig: zorgverzekeraars zijn nog niet actief in het Nuts-ecosysteem. Dat is geen beveiligingsmaatregel. ZOVAR-certificaten vallen onder hetzelfde PKIoverheid-regime en worden gewoon geaccepteerd als een partij zijn volledige keten meestuurt, want die valideert tegen dezelfde roots. De did:x509-pins in de toepassingsdefinities zijn wel UZI-specifiek, maar die staan los van deze bundel.

De ingetrokken TSP-CA's uit 2024 (zoals UZI Server - G4 PKIo Priv G-TLS SYS - 2024, ingetrokken op 29-10-2025) zitten niet in de bundel. De G1-hiërarchie verloopt in november 2028; vanaf 12 november 2026 geeft CIBG alleen nog onder G4 uit.

Bron: cert.pkioverheid.nl (Logius).

Gebruik van de bundel

De bundel hoort in de truststore van de Nuts-node en in de client-certificaatconfiguratie van de reverse proxy, voor de endpoints die mTLS vereisen. Zie de Nuts-node documentatie voor de configuratie.

Verifiëren

Twee stappen volstaan. Haal de twee roots op bij de uitgever en vergelijk hun thumbprints met de tabel hierboven (de G4-root ook met uziregister.nl, waar CIBG de SHA-1- en SHA-256-thumbprints publiceert). Controleer daarna dat ieder certificaat in de bundel door een van die roots is ondertekend, direct of via een intermediate uit de bundel. Alleen wie de privésleutel van een root heeft, kan een certificaat maken dat eraan koppelt, dus hiermee is de hele bundel gecontroleerd. Van de bundel als geheel publiceren we bewust geen checksum.

# 1. Haal de twee roots bij de uitgever en toon hun thumbprints.
#    Vergelijk die met de tabel; de G4-root ook met uziregister.nl.
for r in PrivateRootCA-G1 StaatderNederlandenG4RootPrivGTLS2024; do
  curl -sSf "https://cert.pkioverheid.nl/$r.cer" -o "$r.cer"
  openssl x509 -inform DER -in "$r.cer" -noout -subject -fingerprint -sha256
  openssl x509 -inform DER -in "$r.cer" >> roots.pem
done

# 2. Controleer dat ieder certificaat in de bundel door een van die roots is ondertekend.
#    Verwacht: 13 regels die eindigen op OK.
awk '/BEGIN CERT/{f=sprintf("bundle-%02d.pem",++n)} f{print > f} /END CERT/{f=""}' truststore.pem
for f in bundle-*.pem; do
  openssl verify -CAfile roots.pem -untrusted truststore.pem "$f"
done

Beheer

Een fout of verlopen certificaat gezien? Meld het via een issue. Een beveiligingsprobleem, bijvoorbeeld een certificaat in de bundel dat niet van de uitgever afkomstig is? Meld dat niet via een openbaar issue, maar volg de responsible-disclosureprocedure van Nuts.