Multi-Perspective Issuance Corroboration (MPIC) is een beveiligingsverbetering voor de uitgifte van digitale certificaten. Het vereist dat certificaatautoriteiten (CAs) domeinvalidatie en Certificate Authority Authorization (CAA) controles uitvoeren vanaf meerdere, geografisch en topologisch verschillende netwerklocaties in plaats van slechts één.
Deze aanpak is bedoeld om het risico van geavanceerde aanvallen te verminderen, met name Border Gateway Protocol (BGP) hijacking, welke traditionele validatiemethoden op één locatie kunnen manipuleren.
Als IT-professional zou je om MPIC moeten geven, omdat het direct invloed heeft op de beveiliging en betrouwbaarheid van digitale certificaten die worden gebruikt voor het beveiligen van websites, e-mail en andere online diensten waarop je IT-infrastructuur vertrouwt.
MPIC maakt het aanzienlijk moeilijker voor aanvallers om netwerk-kwetsbaarheden, zoals BGP- of DNS-hijacking, te exploiteren om frauduleus certificaten te verkrijgen voor domeinen die zij niet beheersen. MPIC helpt man-in-the-middle-aanvallen, datalekken en verlies van vertrouwen in de digitale aanwezigheid van je organisatie te voorkomen.
Nu MPIC een industriestandaard wordt, zullen IT-teams hun infrastructuur en processen moeten afstemmen op deze nieuwe validatiestandaarden om compliant te blijven en dienstonderbrekingen te voorkomen.
MPIC beschermt de digitale activa van je organisatie, versterkt je beveiligingshouding en zorgt voor compliance met veranderende best practices in de industrie.
Onderzoek en praktijkvoorvallen hebben aangetoond dat aanvallers zwakke plekken in de routinginfrastructuur van het internet (BGP) kunnen uitbuiten om validatietraffic om te leiden, waardoor CAs potentieel certificaten aan ongeautoriseerde partijen kunnen uitgeven.
Deze bedreiging staat ook bekend als BGP-hijacking, prefix hijacking, route hijacking, of IP hijacking. Het is de illegitieme overname van groepen IP-adressen door internet routing tabellen te corrumperen met behulp van het Border Gateway Protocol (BGP).
72% van de domeinen was kwetsbaar voor BGP-subprefix hijacks, waardoor aanvallers validatietraffic konden omleiden en certificaatautoriteiten (CAs) konden misleiden om frauduleuze certificaten uit te geven.
70% van de domeinen was vatbaar voor same-prefix aanvallen, waardoor tegenstanders legitieme netwerken konden imiteren.
Alle top vijf CAs bleken kwetsbaar voor BGP-gebaseerde certificaatfraude voor mitigeringsmaatregelen, zoals aangetoond in ethische hacking experimenten.
BGP-hijacking voorvallen komen met opmerkelijke frequentie voor en blijven een aanhoudende bedreiging voor wereldwijde internetbeveiliging. Recente data biedt een helder beeld van hoe vaak deze gebeurtenissen plaatsvinden:
Deze statistieken geven aan dat BGP-hijacking geen zeldzame gebeurtenis is – incidenten gebeuren dagelijks, en treffen een breed scala aan organisaties, inclusief grote bedrijven zoals MasterCard, Amazon en Google, evenals nationale telecom operators. Het werkelijke aantal kan zelfs hoger zijn, aangezien sommige gebeurtenissen onopgemerkt of niet gerapporteerd blijven.
MPIC wordt gestandaardiseerd door het CA/Browser Forum (CABF) en wordt een vereiste voor publiek vertrouwde certificaatuitgifte, inclusief TLS en binnenkort S/MIME-certificaten.
Grote CAs zoals Let’s Encrypt en Google Trust Services hebben al vormen van MPIC geïmplementeerd, en handhaving door de industrie wordt verwacht tegen september 2025.
Het DNS Certificate Authority Authorization (CAA) record werd geïntroduceerd in 2013 om ongeautoriseerde certificaatuitgifte te helpen voorkomen en werd verplicht voor publieke CAs in september 2017. Dit record stelt domeineigenaren in staat om te specificeren welke CAs gemachtigd zijn om certificaten voor hun domeinen uit te geven, en helpt het risico van misbruik en Shadow IT te verminderen.
Als er geen CAA record bestaat voor een domein, mag elke publieke Certificate Authority certificaten uitgeven voor dat domein volgens de standaard domeinvalidatie zoals voorgeschreven door het CA/Browser Forum.
Als er echter een CAA-record aanwezig is, mogen alleen die Certificaatautoriteiten die expliciet in het record worden vermeld certificaten voor het domein uitgeven, wat een belangrijke laag van controle en beveiliging toevoegt.
| Kenmerk | Traditionele Validatie | MPIC Validatie |
| Validatie locatie | Enkel netwerkpunt | Meerdere, wereldwijd verspreide punten |
| Weerstand tegen aanvallen | Kwetsbaar voor lokale BGP/DNS hijacks | Bestand tegen lokale aanvallen |
| Industrievereiste | Optioneel/legacy | Wordt verplicht (CABF Ballot SC-067) |
| Certificaatuitgifte | Gevolgd door eenmalige controle | Vereist bevestiging van alle perspectieven |
Samenvattingstabel: MPIC vs. Traditionele Validatie
Multi-Perspective Issuance Corroboration (MPIC) is een geavanceerd kader dat is ontworpen om de geldigheid en integriteit van informatie-uitwisseling over diverse platforms te verbeteren. De belangrijkste functionaliteiten van MPIC draaien om drie kerngebieden.
De implementatie van Multi-Perspective Issuance Corroboration (MPIC) brengt een reeks van robuuste beveiligingsvoordelen met zich mee die de integriteit van certificaatuitgifteprocessen aanzienlijk verbeteren. Door gebruik te maken van meerdere onafhankelijke netwerkperspectieven voor validatie, stelt MPIC een nieuwe standaard in certificaatbeveiliging die verschillende traditionele kwetsbaarheden bestrijdt terwijl het de algehele betrouwbaarheid van de publieke-sleutelinfrastructuur versterkt.
Aanvullende beveiligingsvoordelen:
Multi-Perspective Issuance Corroboration (MPIC) implementeert een geavanceerd validatieraamwerk dat gebruik maakt van meerdere netwerkuitkijkpunten om de beveiliging en authenticiteit van certificaatuitgifteprocessen te waarborgen. Deze gedistribueerde aanpak verbetert de betrouwbaarheid van domeinvalidatie aanzienlijk en helpt verschillende vormen van aanvallen op netwerkniveau te voorkomen.
Hier volgt een gedetailleerde uiteenzetting van hoe MPIC werkt:
1. Gedistribueerde Validatiecontroles
2. Bevestiging van Resultaten
3. Netwerkperspectief Vereisten
4. Validatieproces Vereisten
5. Foutafhandeling en Rapportage
Ondersteunde Validatiemethoden
Domain Control Validation (DCV) is een kritieke component van het certificaatuitgifteproces, en MPIC verbetert de beveiliging van deze validaties door zijn multi-perspectief benadering toe te passen op alle standaard validatiemethoden. Door MPIC te implementeren over verschillende DCV-methoden, zorgen Certificate Authorities voor consistente en betrouwbare validatie, ongeacht de gekozen verificatietechniek.
MPIC is van toepassing op alle belangrijke DCV-methoden, waaronder:
Dit zijn allemaal veelgebruikte validatiemethoden die onderhevig zijn aan MPIC-vereisten. Elke van deze methoden profiteert van de extra beveiligingslaag die multi-perspectief validatie biedt.
De adoptie van MPIC volgt een gefaseerde implementatie tijdlijn, vastgesteld door het CA/Browser Forum en belangrijke browser-leveranciers:
Rapportagefase (januari 2024 – maart 2025):
Handhavingsfase (31 maart 2025 – doorlopend):
Overgangsperiode:
Het ACME-protocol, gebruikt door agents zoals Certbot en WinACME voor geautomatiseerde certificaatuitgifte, raadpleegt altijd het DNS CAA-record voor het aanvragen van certificaten. Dit geldt ongeacht of de Certificate Authority publiek of privaat is.
Wanneer certificaten via ACME worden aangevraagd bij een private CA, moet de hostnaam of fully qualified domain name (FQDN) van de CA worden opgenomen in het CAA-record van het domein. Dit zorgt ervoor dat private CAs ook voldoen aan CAA-autorisatiebeleid, wat ongeautoriseerde certificaatuitgifte voorkomt.
Dit gedeelte beschrijft de kritieke deadlines voor naleving van de MPIC-standaarden (Multi-Perspective Issuance Corroboration) en de adoptiestrategie van de sector.
MPIC vormt een belangrijke stap in het beveiligen van certificaatuitgifte tegen moderne netwerkbedreigingen.
Technische Vereisten
Impact op Organisaties
Toekomstige Ontwikkelingen
Belangrijkste Conclusie: MPIC is niet alleen een technische upgrade, maar een systemische wijziging in certificaatbeveiliging. IT-teams moeten proactief aanpassen om naleving te behouden en geavanceerde netwerkaanvallen te voorkomen.
Het is cruciaal dat alle publiek toegankelijke DNS-servers van een organisatie correct gesynchroniseerd zijn. Zonder strikte synchronisatie kunnen certificaataanvragen vanaf september 2025 falen vanwege MPIC-vereisten.
Aanbevelingen:
Voorbeeld:
Een DNS-record voor domain.com moet in alle regio’s identiek zijn om consistentie te garanderen.
Gevolgen van desynchronisatie:
Waarschuwing:
Organisaties met gedistribueerde DNS-servers moeten CAA-records en validatie-entries realtime synchroniseren om uitgifteproblemen te voorkomen.
In deze blogpost hebben we een diepgaand overzicht gegeven van Multi-Perspective Issuance Corroboration (MPIC), een aankomende standaard voor de uitgifte van digitale certificaten, ontworpen om de beveiliging tegen geavanceerde aanvallen op netwerkniveau zoals BGP-hijacking te verbeteren.
De belangrijkste punten zijn:
Conclusie: MPIC vertegenwoordigt een fundamentele verschuiving in digitale certificaatbeveiliging. IT-teams en organisaties moeten hun systemen proactief aanpassen om MPIC-standaarden te integreren, zodat robuuste bescherming tegen opkomende beveiligingsdreigingen wordt gegarandeerd en wordt voldaan aan de beste praktijken in de sector.
Wilt u meer weten over hoe KeyTalk uw organisatie kan helpen met MPIC? Neem contact met ons op en we bespreken de uitdagingen en mogelijke oplossingen.
Het KeyTalk Team
