Infrastrukturen för offentliga nycklar hanterar nycklarna och certifikaten som gör att krypterad kommunikation fungerar. Den inkluderar certifikatutfärdare, registreringsutfärdare, policyer och programvaran som utfärdar, distribuerar och återkallar certifikat. När din webbläsare litar på en HTTPS-webbplats är PKI orsaken. Webbplatsen presenterade ett certifikat. En betrodd certifikatutfärdare signerade det. Webbläsaren verifierade signaturen mot sin lista över betrodda rötter. Förtroendekedjan gäller eftersom alla är överens om vilka certifikatutfärdarna är.

PKI är komplext och ömtåligt. En komprometterad CA kan utfärda bedrägliga certifikat för vilken domän som helst. DigiNotar 2011 och Symantec under flera år utfärdade båda certifikat felaktigt. Webbläsare misstrodde dem så småningom, och företagen kollapsade. Återkallelse av certifikat är en annan svag punkt. Att kontrollera om ett certifikat har återkallats är långsamt och opålitligt. Vissa webbläsare hoppar över kontrollen helt och hållet. Certifikattransparensloggar förbättrar situationen genom att registrera varje utfärdat certifikat offentligt. Felaktig utfärdande upptäcks snabbare. Men förtroendemodellen förblir centraliserad. En handfull rot-CA:er förankrar säkerheten för hela webben. Om man komprometterar en, är skadan global.

PKI-komponenter

• Certifikatutfärdare — utfärdar och signerar certifikat
• Registreringsmyndighet — verifierar identitet före utfärdande
• Certifikatförråd — lagrar och distribuerar certifikat
• Återkallelsesystem — publicerar återkallade certifikat
• Certifikattransparens — offentliga loggar över utfärdade certifikat

PKI är osynlig när den fungerar. När den misslyckas känner hela webben av det.