Infrastruktura klucza publicznego zarządza kluczami i certyfikatami, które umożliwiają działanie szyfrowanej komunikacji. Obejmuje ona urzędy certyfikacji, urzędy rejestracji, polityki oraz oprogramowanie, które wydaje, dystrybuuje i unieważnia certyfikaty. Kiedy przeglądarka ufa witrynie HTTPS, powodem jest PKI. Witryna przedstawiła certyfikat. Zaufany urząd certyfikacji go podpisał. Przeglądarka zweryfikowała podpis na liście zaufanych urzędów certyfikacji. Łańcuch zaufania jest zachowany, ponieważ wszyscy zgadzają się co do tego, które urzędy certyfikacji są urzędami certyfikacji.

Infrastruktura PKI jest złożona i krucha. Zhakowany urząd certyfikacji może wydawać fałszywe certyfikaty dla dowolnej domeny. DigiNotar w 2011 roku i Symantec przez kilka lat błędnie wystawiali certyfikaty. Przeglądarki ostatecznie przestały im ufać, a firmy upadły. Unieważnianie certyfikatów to kolejny słaby punkt. Sprawdzanie, czy certyfikat został unieważniony, jest powolne i zawodne. Niektóre przeglądarki całkowicie pomijają to sprawdzanie. Dzienniki przejrzystości certyfikatów poprawiają sytuację, rejestrując publicznie każdy wydany certyfikat. Nadużycia są wykrywane szybciej. Jednak model zaufania pozostaje scentralizowany. Kilka głównych urzędów certyfikacji odpowiada za bezpieczeństwo całej sieci. Złamanie zabezpieczeń jednego z nich może mieć globalny zasięg.

Komponenty PKI

• Urząd certyfikacji — wydaje i podpisuje certyfikaty
• Urząd rejestrujący — weryfikuje tożsamość przed wydaniem
• Repozytorium certyfikatów — przechowuje i dystrybuuje certyfikaty
• System unieważnień — publikuje unieważnione certyfikaty
• Przejrzystość certyfikatów — publiczne logi wydanych certyfikatów

Infrastruktura PKI jest niewidoczna, gdy działa. Kiedy zawodzi, odczuwa to cała sieć.