Welke sleutels worden van de server naar de client gestuurd?

De koptekst is niet nodig volgens de regels.

Van server naar client kunnen verschillende sleutels worden overgedragen afhankelijk van de context en het gebruikte protocol. De belangrijkste typen sleutels die kunnen worden overgedragen of overeengekomen:

1. Publieke sleutels: In asymmetrische cryptografie kan de server zijn publieke sleutel naar de client overdragen. Dit wordt gebruikt voor:

   • Het versleutelen van gegevens door de client, die alleen door de server (met de bijbehorende privésleutel) kunnen worden ontsleuteld.
   • Het verifiëren van een digitale handtekening gemaakt door de server met zijn privésleutel.

2. Sessiesleutels (Session IDs) / Sessietokens: Dit zijn geen cryptografische sleutels op zich, maar ze fungeren als sleutels om de sessie van de gebruiker te identificeren. De server genereert na authenticatie een unieke identificator en stuurt deze naar de client (vaak in de vorm van een cookie). De client voegt deze ID toe aan vervolgverzoeken om de sessiestatus te behouden.

3. Sleutels voor symmetrische encryptie: Hoewel symmetrische sleutels zelden direct in platte tekst worden overgedragen, worden ze vaak gegenereerd of overeengekomen tijdens het opzetten van een beveiligde verbinding (bijvoorbeeld via TLS/SSL). De server en de client kunnen het Diffie-Hellman-algoritme of varianten gebruiken om veilig een gedeelde symmetrische sleutel af te spreken zonder deze rechtstreeks te verzenden. Deze symmetrische sleutel wordt vervolgens gebruikt voor het versleutelen van al het verkeer tijdens de sessie.

4. Authenticatie- en autorisatietokens (bijvoorbeeld JWT): De server kan na succesvolle authenticatie een token uitgeven (bijvoorbeeld JSON Web Token). Dit token bevat informatie over de gebruiker en zijn rechten. De client stuurt dit token bij elke aanvraag naar de server om zijn identiteit en rechten te bevestigen. Hoewel het token geen cryptografische sleutel is, is het ondertekend of versleuteld met sleutels die alleen de server (of meerdere servers/diensten) kennen.

5. API-sleutels / Geheime sleutels van de client: In sommige architecturen kan de server een statische API-sleutel of geheime sleutel uitgeven aan de client (bijvoorbeeld een mobiele app of een andere service) voor gebruik als onderdeel van de authenticatie van verzoeken. Dit is echter minder veilig voor clientapplicaties, omdat de sleutel kan worden geëxtraheerd.

6. Certificaten: De server stuurt zijn SSL/TLS-certificaat naar de client aan het begin van de beveiligde verbinding. Het certificaat bevat de publieke sleutel van de server en is ondertekend door een vertrouwde CA. De client gebruikt het certificaat om de echtheid van de server te verifiëren en zijn publieke sleutel te verkrijgen.

Voorbeeld van het gebruik van een publieke sleutel in de context van HTTPS/TLS:

1. De client initieert de TLS-handdruk.
2. De server stuurt zijn certificaat naar de client, dat de publieke sleutel van de server bevat.
3. De client verifieert het certificaat (trust chain, geldigheid, enz.) en haalt de publieke sleutel van de server op.
4. De client genereert een tijdelijke symmetrische sessiesleutel.
5. De client versleutelt deze sessiesleutel met de publieke sleutel van de server.
6. De client stuurt de versleutelde sessiesleutel naar de server.
7. De server ontsleutelt de sessiesleutel met zijn privésleutel.
8. Het verdere gegevensverkeer tussen client en server wordt versleuteld en ontsleuteld met deze overeengekomen symmetrische sessiesleutel.

Belangrijke punten:

• Het direct overdragen van geheime/prive sleutels van de server naar de client wordt sterk ontraden om veiligheidsredenen.
• Meestal geeft de server publieke sleutels, sessie-identifiers, tokens of participeert in het overeenkomen van symmetrische sleutels.
• Het gebruik van specifieke typen sleutels hangt af van het scenario (authenticatie, encryptie, sessiebeheer, enz.).