Wanneer men het informatiesysteem van een gemeente of een intergemeentelijke vereniging auditeert, komt men nog regelmatig modules tegen die CAPICOM op de achtergrond aanroepen. De door Microsoft ontwikkelde encryptiebibliotheek werd gebruikt om digitale certificaten te beheren, documenten te ondertekenen en gegevensstromen vanuit Windows-applicaties te versleutelen. Het probleem: Microsoft heeft CAPICOM officieel afgeschreven en stopt met updates, waardoor deze softwarecomponenten zonder beveiligingspatches blijven.
Detecteren van applicaties die nog CAPICOM gebruiken in een openbare IT-omgeving
Voordat we over migratie praten, moeten we weten waar CAPICOM zich verstopt. De bibliotheek komt voor in de vorm van een DLL-bestand (capicom.dll) dat op Windows-pc’s is geregistreerd. In een gemeente is het vaak ingebed in oude bedrijfsapplicaties: interne elektronische handtekeningen, modules voor het ondertekenen van openbare aanbestedingen, of tools voor het versleutelen van e-mails tussen diensten.
Verder lezen : Waarom de grelinette adopteren voor een biologische en natuurvriendelijke moestuin?
De meest directe reflex is om capicom.dll in het hele park te zoeken via een implementatiescript of een software-inventarisatietool. We richten ons ook op COM-aanroepen in het Windows-register, omdat sommige applicaties CAPICOM laden zonder de DLL lokaal te kopiëren.
De reacties variëren hierover: sommige IT-afdelingen ontdekken de afhankelijkheid pas tijdens een browser-migratie of een wijziging van de Windows-versie, wanneer een module plotseling stopt met functioneren. In de praktijk, zoals CAPICOM uitgelegd door Collectivité Numérique het beschrijft, voorkomt deze vroege detectie onderbrekingen van de dienstverlening bij kritieke procedures zoals het ondertekenen van inkooporders.
Lees ook : Tips en inspiratie voor het succesvol maken van uw dagelijkse blogavontuur
CAPICOM en eIDAS-conformiteit: waarom de status quo een regelgevingsrisico vormt
CAPICOM is gebaseerd op de historische CryptoAPI-API’s van Windows. Deze API’s ondersteunen de recente cryptografische suites die door de huidige Europese referentiekaders worden vereist. De richtlijnen van ENISA en de eIDAS 2.0-beschermingsprofielen hebben sinds 2023 de aanbevelingen voor algoritmen en sleutelgroottes voor vertrouwensdiensten versterkt.
CAPICOM is niet meer in lijn met de Europese cryptografische vereisten die van toepassing zijn op geavanceerde en gekwalificeerde handtekeningen. Voor een gemeente die te maken heeft met gedigitaliseerde openbare aanbestedingen of administratieve handelingen die elektronisch zijn ondertekend, verzwakt het handhaven van een afgeschreven component de bewijswaarde van de geproduceerde documenten.
Het risico is niet theoretisch. Een certificaat dat via CAPICOM wordt beheerd, kan gebaseerd zijn op hash-algoritmen of sleutelgroottes die door certificeringsinstanties en verificatieplatforms nu als onvoldoende worden beschouwd. In geval van een geschil kan de conformiteit van het ondertekeningsproces ter discussie worden gesteld.
CryptoAPI Next Generation en .NET: de juiste vervangingsroute kiezen
Microsoft wijst ontwikkelaars twee hoofdwegen aan om CAPICOM te vervangen. De keuze hangt af van het type applicatie en de beschikbare vaardigheden binnen het technische team.
CNG voor native Windows-applicaties
CryptoAPI Next Generation (CNG) is de directe opvolger van CryptoAPI. Het ondersteunt moderne algoritmen (AES met lange sleutels, elliptische krommen, recente TLS-suites). Voor een native applicatie in C++ of Delphi die CAPICOM via COM aanriep, is migreren naar CNG de kortste weg.
De herschrijving betreft de aanroepen voor ondertekening, certificaatverificatie en versleuteling. De rest van de applicatiecode blijft doorgaans intact.
Namespace System.Security.Cryptography voor .NET-applicaties
Als de applicatie is ontwikkeld in VB.NET of C#, de namespace System.Security.Cryptography dekt alle functies die CAPICOM bood:
- Ondertekening en verificatie van documenten met volledige beheer van de Windows-certificaatopslag
- Symmetrische en asymmetrische versleuteling volgens de huidige normen
- Tijdstempeling en certificaatketens die voldoen aan de eIDAS-eisen
Het voordeel van deze aanpak: de beveiligingsupdates volgen de ondersteuningscyclus van .NET, wat het probleem van de bevroren bibliotheek zonder patches oplost.
CAPICOM-migratie plannen in een gemeente: de kritieke stappen
CAPICOM vervang je niet in een sprint. De migratie raakt gevoelige bedrijfsprocessen, en elke gemeente heeft een andere applicatiegeschiedenis. Drie stappen structureren het project.
- Kaart de afhankelijkheden in kaart: identificeer elke applicatie, elke stroom en elke pc die capicom.dll laadt, en documenteer de exacte functie die wordt gebruikt (ondertekening, versleuteling, verificatie)
- Prioriteer op basis van kritischheid: applicaties die verband houden met openbare aanbestedingen of de ondertekening van handelingen krijgen voorrang, terwijl diegene die alleen interne versleuteling doen kunnen wachten op een tweede fase
- Test in een geïsoleerde omgeving: valideer dat de nieuwe cryptografische component handtekeningen produceert die worden geaccepteerd door de gebruikte digitaliseringsplatforms (handtekeningprofiel XAdES, PAdES afhankelijk van de situatie)
- Opleiden van de betrokken medewerkers: een wijziging van certificaat of ondertekeningsprocedure vereist duidelijke communicatie naar de eindgebruikers, zelfs als de wijziging aan de interfacezijde transparant is
In de praktijk neemt de fase van het in kaart brengen vaak meer tijd in beslag dan de herschrijving zelf, omdat de afhankelijkheden van CAPICOM niet altijd zijn gedocumenteerd in de applicatiefiches.
Gemeenten die deze migratie uitstellen, lopen het risico op een dubbele druk: een risico op een stilstand bij een Windows-update die de COM-compatibiliteit breekt, en een gebrek aan conformiteit met de toenemende eisen van de Europese veiligheidsreferentiekaders. Het is beter om nu met de inventarisatie te beginnen, ook al strekt de volledige herschrijving zich uit over meerdere maanden.