A nyilvános kulcsú infrastruktúra (PKI) kezeli a titkosított kommunikáció működését biztosító kulcsokat és tanúsítványokat. Magában foglalja a hitelesítésszolgáltatókat, a regisztrációs hatóságokat, a szabályzatokat, valamint a tanúsítványokat kibocsátó, terjesztő és visszavonó szoftvereket. Amikor a böngésző megbízik egy HTTPS webhelyen, az a PKI nevének köszönhető. A webhely bemutatott egy tanúsítványt. Egy megbízható hitelesítésszolgáltató aláírta. A böngésző ellenőrizte az aláírást a megbízható gyökerek listájával szemben. A bizalmi lánc azért áll fenn, mert mindenki egyetért abban, hogy kik a hitelesítésszolgáltatók.

A PKI összetett és törékeny. Egy feltört CA hamis tanúsítványokat bocsáthat ki bármely domainhez. A DigiNotar 2011-ben és a Symantec is éveken át helytelenül állított ki tanúsítványokat. A böngészők végül bizalmatlanná váltak velük szemben, és a vállalatok összeomlottak. A tanúsítványok visszavonása egy másik gyenge pont. A tanúsítvány visszavonásának ellenőrzése lassú és megbízhatatlan. Egyes böngészők teljesen kihagyják az ellenőrzést. A tanúsítványok átláthatósági naplói javítják a helyzetet azáltal, hogy minden kiállított tanúsítványt nyilvánosan rögzítenek. A helytelen kibocsátásokat gyorsabban leleplezik. De a bizalmi modell továbbra is központosított marad. Néhány root CA biztosítja az egész web biztonságát. Ha egyet feltörnek, a kár globális.

PKI-komponensek

• Tanúsítványkibocsátó hatóság – tanúsítványokat bocsát ki és ír alá
• Regisztrációs hatóság – a kiállítás előtt ellenőrzi a személyazonosságot
• Tanúsítványtár – tárolja és terjeszti a tanúsítványokat
• Visszavonási rendszer – közzéteszi a visszavont tanúsítványokat
• Tanúsítványok átláthatósága – a kiállított tanúsítványok nyilvános naplói

A PKI működés közben láthatatlan. Amikor meghibásodik, azt az egész web érzi.