公開鍵基盤（PKI）は、暗号化通信を機能させるための鍵と証明書を管理します。これには、認証局、登録機関、ポリシー、および証明書の発行、配布、失効を行うソフトウェアが含まれます。ブラウザがHTTPSサイトを信頼するのは、PKIのおかげです。サイトが証明書を提示し、信頼できる認証局がそれに署名しました。ブラウザは、信頼できるルート証明書のリストと照合して署名を検証しました。認証局が誰であるかを全員が合意しているため、信頼の連鎖が維持されます。

PKIは複雑で脆弱です。侵害された認証局は、あらゆるドメインに対して不正な証明書を発行できます。2011年のDigiNotarと数年にわたるSymantecは、いずれも証明書を不正に発行しました。ブラウザは最終的にそれらを信用しなくなり、両社は倒産しました。証明書の失効も弱点の一つです。証明書が失効しているかどうかを確認するのは時間がかかり、信頼性も低いです。一部のブラウザは、このチェックを完全にスキップします。証明書の透明性ログは、発行されたすべての証明書を公開記録することで状況を改善します。不正発行はより早く発見されます。しかし、信頼モデルは依然として中央集権的です。少数のルート認証局がウェブ全体のセキュリティを支えています。そのうちの1つが侵害されると、被害は世界規模になります。

PKIコンポーネント

• 認証局 — 証明書を発行し、署名する
• 登録機関 ― 発行前に本人確認を行う
• 証明書リポジトリ — 証明書を保存および配布する
• 失効システム ― 失効した証明書を公開する
• 証明書の透明性 — 発行された証明書の公開ログ

PKIは正常に機能しているときは目に見えない。しかし、障害が発生すると、ウェブ全体がその影響を受ける。