Er is ontdekt dat de privésleutel die bij het servercertificaat van een webserver hoort mogelijk is uitgelekt. Het certificaat is nog niet verlopen. Wat is de meest geschikte actie voor de beheerder?

Antwoord: C. De certificaatautoriteit (CA) vragen het certificaat in te trekken en voor een nieuw sleutelpaar opnieuw een certificaat laten uitgeven

Een certificaat is de verklaring „deze publieke sleutel hoort bij deze domeinnaam (of organisatie)”, ondertekend door een certificaatautoriteit (CA). Door de handtekeningen terug te volgen naar een CA die ze vertrouwen, kunnen gebruikers erop vertrouwen wie de eigenaar van een publieke sleutel is. Dit mechanisme, waarbij CA's en certificaten de eigenaar van publieke sleutels garanderen, heet PKI (public key infrastructure). Als een privésleutel uitlekt, kan een aanvaller zich voordoen als de echte server of handtekeningen vervalsen. Een certificaat blijft geldig tot het verloopt, dus de beheerder vraagt de CA zonder te wachten het in te trekken en als ongeldig te publiceren. Gebruikers kunnen de intrekkingsstatus controleren via CRL's (certificate revocation lists) of OCSP. Daarna laat de beheerder een nieuw certificaat uitgeven voor een nieuw gemaakt sleutelpaar. Publieke sleutels zijn bedoeld om openbaar te zijn, en er een geheimhouden voorkomt het misbruik van een uitgelekte privésleutel niet.