공개 키 인프라(PKI)는 암호화된 통신을 가능하게 하는 키와 인증서를 관리합니다. PKI에는 인증 기관(CA), 등록 기관, 정책, 그리고 인증서를 발급, 배포, 폐지하는 소프트웨어가 포함됩니다. 브라우저가 HTTPS 사이트를 신뢰하는 이유는 바로 PKI 때문입니다. 해당 사이트는 인증서를 제시했고, 신뢰할 수 있는 CA가 그 인증서에 서명했습니다. 브라우저는 자체적으로 보유한 신뢰 루트 목록을 기준으로 서명을 검증했습니다. 모든 관계자가 CA의 역할을 인정하기 때문에 신뢰 사슬이 유지됩니다.

PKI는 복잡하고 취약합니다. CA가 손상되면 어떤 도메인에 대해서든 위조 인증서를 발급할 수 있습니다. 2011년 DigiNotar와 수년간 Symantec 모두 잘못된 인증서를 발급했습니다. 결국 브라우저들이 이들을 불신하게 되었고, 두 회사는 파산했습니다. 인증서 폐지 또한 또 다른 약점입니다. 인증서 폐지 여부를 확인하는 것은 느리고 신뢰할 수 없습니다. 일부 브라우저는 아예 확인 절차를 생략하기도 합니다. 인증서 투명성 로그는 발급된 모든 인증서를 공개적으로 기록함으로써 상황을 개선합니다. 잘못된 인증서 발급을 더 빨리 적발할 수 있게 해줍니다. 하지만 신뢰 모델은 여전히 ​​중앙 집중식입니다. 소수의 루트 CA가 전체 웹의 보안을 책임지고 있습니다. 이 중 하나라도 손상되면 그 피해는 전 세계적입니다.

PKI 구성 요소

• 인증기관 - 인증서를 발급하고 서명합니다.
• 등록 기관 - 발급 전에 신원 확인
• 인증서 저장소 — 인증서를 저장하고 배포합니다.
• 인증서 취소 시스템 — 취소된 인증서를 게시합니다
• 인증서 투명성 — 발급된 인증서의 공개 기록

PKI는 제대로 작동할 때는 눈에 띄지 않지만, 실패하면 웹 전체에 영향을 미칩니다.