Wat is mTLS?

Bij gewone TLS verifieert alleen de cliënt de server. Bij Mutual TLS (mTLS) verifieert ook de server de cliënt aan de hand van een client-certificaat. Alle Generieke Functies Technische Documentatie-diensten vereisen mTLS: zonder geldig certificaat wordt de verbinding al op transportniveau geweigerd.

CSR genereren met OpenSSL

# Genereer een 4096-bits RSA-sleutelpaar en een CSR
openssl req -newkey rsa:4096 -nodes \
  -keyout client.key \
  -out    client.csr \
  -subj "/C=NL/O=Mijn Organisatie/CN=mijn-app.proeftuin"

# Verifieer de CSR
openssl req -text -noout -verify -in client.csr

Na het opsturen van je CSR, krijg je vanuit GfModules certificaten die alleen geldig zijn op de betreffende omgeving (bijvoorbeeld de Proeftuin). Deze certificaten kunnen niet gebruikt worden voor andere doeleinden en systemen.

Je ontvangt op dit moment twee sets certificaten:

• LDN certificaten
• UZI certificaten

Binnen je UZI certificaat zit een test URA nummer. Dit nummer wordt gebruikt om van en naar te communiceren binnen de verschillende systemen binnen GfModules. De LDN certificaten zijn op dit moment niet nodig voor gebruik en zullen in de toekomst niet meer worden uitgegeven voor de Proeftuin.

Je zult de volgende UZI certificaten ontvangen:

• [naam]-uzi-chain.crt — Jouw certificaat plus de bijbehorende chain certificaten.
• [naam]-uzi.crt — Jouw certificaat zonder chain certificaten.
• uzi-ca.crt — Het root CA certificaat van de Proeftuin.

Certificaten gebruiken de volgende chain:

Verbinding testen met curl

# Controleer of mTLS-handshake slaagt
curl -v \
  --cert client-uzi-chain.crt \
  --key  client-uzi.key \
  https://oauth.proeftuin.gf.irealisatie.nl/.well-known/oauth-authorization-server

PKCS#12-bundle aanmaken (voor Java / .NET)

openssl pkcs12 -export \
  -in    client-uzi-chain.crt \
  -inkey client-uzi.key \
  -out   client.p12 \
  -name  "gfmodules-client" \
  -passout pass:geheimwachtwoord