Offentlig nøgleinfrastruktur administrerer de nøgler og certifikater, der får krypteret kommunikation til at fungere. Den omfatter certifikatmyndigheder, registreringsmyndigheder, politikker og den software, der udsteder, distribuerer og tilbagekalder certifikater. Når din browser har tillid til et HTTPS-websted, er PKI årsagen. Webstedet præsenterede et certifikat. En betroet certificeringsmyndighed signerede det. Browseren verificerede signaturen mod sin liste over betroede rødder. Tillidskæden gælder, fordi alle er enige om, hvem certificeringsmyndighederne er.

PKI er komplekst og skrøbeligt. En kompromitteret CA kan udstede falske certifikater til ethvert domæne. DigiNotar i 2011 og Symantec over flere år udstedte begge certifikater forkert. Browsere nærede til sidst mistillid til dem, og virksomhederne kollapsede. Tilbagekaldelse af certifikater er et andet svagt punkt. Det er langsomt og upålideligt at kontrollere, om et certifikat er blevet tilbagekaldt. Nogle browsere springer kontrollen helt over. Certifikatgennemsigtighedslogge forbedrer situationen ved at registrere hvert udstedte certifikat offentligt. Forkert udstedelse opdages hurtigere. Men tillidsmodellen forbliver centraliseret. En håndfuld rod-CA'er forankrer sikkerheden på hele internettet. Kompromitter én, og skaden er global.

PKI-komponenter

• Certifikatmyndighed — udsteder og underskriver certifikater
• Registreringsmyndighed — verificerer identitet før udstedelse
• Certifikatarkiv — gemmer og distribuerer certifikater
• Tilbagekaldelsessystem — offentliggør tilbagekaldte certifikater
• Certifikatgennemsigtighed — offentlige logfiler over udstedte certifikater

PKI er usynlig, når den virker. Når den fejler, mærker hele internettet det.