Het Nationaal Cyber Security Center (NCSC) van de overheid waarschuwt organisaties opnieuw voor certificaten met een RSA-sleutellengte van hoogstens 1024 bits, alleen dit keer vanwege enkele onverwachte plaatsen waar de korte RSA-sleutels in gebruik kunnen zijn.

Vorig jaar december werd er ook al een waarschuwing afgegeven. De komende tijd zal namelijk steeds meer software geen certificaten meer accepteren met RSA-sleutels van hoogstens 1024-bits. Organisaties krijgen dan ook het advies om naar een sleutellengte van minimaal 2048-bits over te stappen.

Onverwachte plekken

Bij het vervangen van de sleutels moeten organisaties rekening houden dat ze ook op onverwachte plekken worden gebruikt, zo laat het NCSC nu weten. Het gaat dan bijvoorbeeld om het Remote Desktop Protocol (RDP) van oudere Windows-versies, dat standaard een RSA-sleutel van 512 bits gebruikt. Ook blijken sommige applicaties voor toegang op afstand tot bedrijfsmailservers RSA met een korte sleutellengte te gebruiken.

Volgens het NCSC laten deze voorbeelden zien dat het belangrijk voor organisaties is om na te gaan of in de applicaties die ze gebruiken een veilige RSA-sleutellengte wordt gehanteerd, of dat deze sleutellengte op een veilige standaardwaarde kan worden ingesteld. Meer informatie over het probleem en een handelingsperspectief worden in deze factsheet gegeven.