Een public key infrastructure (PKI) is een systeem waarmee uitgiften en beheer van digitale certificaten kan worden gerealiseerd.

Door de toepassing van een deugdelijke PKI is het mogelijk dat een certificaat dat door een certificaatautoriteit (CA) wordt beheerd, door de eigenaar ervan wordt gebruikt in de relatie met een ander individu. De CA waarborgt de integriteit en authenticiteit van het certificaat en staat dus in voor de identiteit van de certificaatbezitter.

Aangezien de CA de kopieën van de verstrekte certificaten bevat, alsmede identificerende kenmerken van de identiteiten aan wie ze zijn verstrekt, is het van groot belang dat de fysieke opslagruimte op een zeer goede manier is beveiligd, zowel logistiek (toegangsrechten binnen het systeem) als fysiek (wie is in staat het opslagsysteem te benaderen). Inrichten van een deugdelijke CA is dan ook een zeer kostbare aangelegenheid.

Een PKI bestaat uit verschillende componenten. De belangrijkste zijn:

• Een certificaatautoriteit (of Certificate Authority, CA) — beheert de certificaten
• Een registratieautoriteit (of Registration Authority, RA) — stelt vast aan wie een certificaat kan worden verstrekt en controleert de uitgifte ervan
• Een validatieautoriteit (of Validation Authority, VA)
• Een lijst met ingetrokken en vervallen certificaten; de certificate revocation list of CRL
• De algemene (verkoop)voorwaarden van de PKI; het Certificate Practice Statement of CPS.

De PKI wordt mogelijk gemaakt door de koppeling met een directory service (DS), waarin de identiteiten waaraan een certificaat wordt verstrekt, worden beheerd.

Een certificaatserver is van origine een afzonderlijk, zwaar beveiligd systeem, dat ontworpen is om ook fysiek geweld te weerstaan. Tegenwoordig worden certificaatservers met veel besturingssystemen meegeleverd, te denken valt aan Windows en Linux, zodat ook een gewone pc als CA ingezet kan worden. Dat betekent dat er aanvullende maatregelen moeten worden getroffen om het beoogde niveau van beveiliging te bereiken.

Ook beheer van een PKI is een kostbare aangelegenheid. Los van de fysieke inrichting van de CA-server, moet ook de RA-functie worden ingericht en moet een passende CPS worden opgesteld. Afhankelijk van het niveau van vertrouwen dat door het certificaat en het CPS wordt geboden is met name de RA functie kostbaar. In het duurste geval zal elke verstrekking van een certificaat gepaard moeten gaan met een authenticatie van de certificaathouder, door vaststellen van de identiteit aan de hand van een wettelijk identificatiemiddel.

Er bestaan verschillende niveaus van certificaatverstrekkende entiteiten. Op het internet zijn diverse zogenaamde root CA's die certificaten aan andere CA's mogen verstrekken. Een van de bekendste is VeriSign, maar de Nederlandse overheid heeft ook een eigen PKI genaamd PKIoverheid. Deze CA's mogen vervolgens, op een hiërarchisch lager niveau, zelf ook weer certificaten verstrekken. De certificaten die binnen deze hiërarchie worden verstrekt, zijn ook buiten deze hiërarchie bruikbaar. Deze CA's zijn bijvoorbeeld in de certificaatlijsten in de internet browsers opgenomen, zodat de browsers en e-mailpakketten de certificaten van deze CA's op geldigheid kunnen controleren. CA's buiten een hiërarchie kunnen andere CA's vertrouwen, zodat de certificaten die door een CA binnen de ene hiërarchie zijn verstrekt, door gebruikers in een andere hiërarchie vertrouwd kunnen worden. Het mechanisme dat dit mogelijk maakt heet cross-certificering.

Wanneer certificaten niet buiten een hiërarchie beschikbaar hoeven te zijn, is sprake van een interne PKI. Een dergelijke PKI wordt in de regel binnen bedrijven toegepast voor het zetten van een digitale handtekening op bijvoorbeeld interne inkooporders of voor code signing van zelf ontwikkelde programmatuur of macroscripts. Overigens kan ook voor een interne PKI een hiërarchisch architectuurmodel worden gekozen, waarbij een root CA instaat voor de authenticiteit van de onderliggende certificaatverstrekkende CA's. De root-CA zal in een dergelijke omgeving vanuit de optiek van beveiliging offline worden gezet, zodat de server niet vanaf het netwerk is aan te vallen.

Een vertrouwde derde partij (of trusted third party, TTP) is een CA die certificaten op de markt aanbiedt.

Een web van vertrouwen (of web of trust, WoT) is een beheermodel waarbij de RA-functie van het PKI niet is geformaliseerd, maar waarbij de certificaathouders zelf deze functie vervullen. Ze staan zelf in voor de authenticiteit van de identiteit van andere certificaathouders. De kosten van een certificaat zijn bij deze vorm van PKI dan ook aanzienlijk lager dan die met een geformaliseerde RA functie. Bekende aanbieders van WoT-certificaten zijn Thawte en CAcert. Ook PGP kent een vorm van een web van vertrouwen, waarbij ook de CA-functie niet is geformaliseerd.

• Registratie certificatiedienstverleners, OPTA