A hitelesítésszolgáltató (CA) digitális tanúsítványokat bocsát ki, amelyek egy nyilvános kulcsot egy identitáshoz kötnek. Amikor HTTPS-en keresztül látogat meg egy webhelyet, a böngészője ellenőrzi a webhely tanúsítványát a megbízható hitelesítésszolgáltatók (CA-k) listájával szemben. Ha egy megbízható CA írta alá, és a domain egyezik, a böngésző egy lakatot jelenít meg. Ha nem, figyelmeztetést kap. A CA a bizalom horgonya. Ha feltöri, az egész rendszer összeomlik.

A hitelesítésszolgáltatók (CA-k) a kiállítás előtt ellenőrzik a személyazonosságot. A domain-érvényesítés megerősíti a domain feletti ellenőrzést. A szervezet-érvényesítés ellenőrzi a vállalat létezését. A kiterjesztett érvényesítés alaposabb felülvizsgálatot eredményez, bár a böngészők csökkentették a vizuális megjelenését. Az ellenőrzés nem tökéletes. A DigiNotar 2011-ben feltörték, és hamis tanúsítványokat állított ki Google-domainekhez. A vállalat csődbe ment. A Symantec évekig helytelenül állított ki tanúsítványokat, mielőtt a böngészők bizalmatlanok lettek volna vele. A rendszer azért maradt fenn, mert több CA létezik, és a böngészők visszavonhatják a bizalmat. A tanúsítvány-átláthatósági naplók mostantól minden kiállított tanúsítványt nyilvánosan rögzítenek, így a helytelen kibocsátást gyorsabban leleplezik. A bizalmi modell központosított és törékeny, de jobban bírta a helyzetet, mint a legtöbb alternatíva.

Tanúsítványérvényesítési szintek

• Domain validáció – igazolja a domain feletti ellenőrzést
• Szervezeti validáció – megerősíti a vállalat létezését
• Kiterjesztett érvényesítés – alapos személyazonosság-ellenőrzés
• Tanúsítványok átláthatósága – a kiállított tanúsítványok nyilvános naplói

Amikor egy böngésző figyelmeztet egy tanúsítványra, figyelj oda. Ez általában azt jelenti, hogy valami nincs rendben.