PKI 通过加密技术进行运作，加密技术是密码学的子集，运用数学算法将可读数据转换为不可读的格式。
加密算法主要分为两类。 对称加密使用相同的密钥进行数据加密和解密。 如果密钥被泄露，数据将不再安全。
相比之下，非对称加密使用相互关联的两个密钥。 一个是公开共享的公钥，另一个是保密的私钥。 PKI 加密正是利用这种方法实现数据编码、用户身份验证和交易保护。
分步流程说明了 PKI 在实践中的运作原理：
- 每个用户、设备或系统生成一个保密私钥和一个公开共享的公钥。
- 证书颁发机构 (CA) 验证实体身份并签发数字证书，将公钥与身份进行绑定。 身份与密钥对的关联能够支持 PKI 身份验证，确保仅可信用户、设备和系统才能访问敏感资源。
- 传输加密数据时，发件人使用收件人的公钥。 只有匹配的私钥才能对其进行解密。
- 发件人也可以使用自己的私钥实施数字签名。
- 收件人系统向 CA 验证证书。 其通过证书吊销列表 (CRL) 或在线状态协议 (OCSP) 来确保证书未被吊销，从而确认密钥是否可信。 此举能够证明数据来源，确保数据完整性并确认数据未遭更改。
- 如果密钥或证书遭到泄露，PKI 系统可以立即吊销，从而维护整个网络的安全。
通过身份验证和数据保护，PKI 能够促进所有用户之间的信任。 它还可以防止中间人 (MITM) 攻击、冒充和欺骗行为。 例如，即使攻击者拦截了消息，在缺少私钥的情况下也无法解密。
组织可以通过 PKI 即服务 (PKIaaS) 管理 PKI，无需投入大量内部技术基础设施或专业知识。 这种基于云的解决方案提供可扩展的证书管理、自动化密钥轮换及监控功能，可帮助各种规模的组织保障通信和交易安全。
数字证书
数字证书，有时称为“公钥证书”，是一种用于识别公钥所有者的电子文档。 此证书使收件人能够确认密钥来自合法来源，从而降低了 MITM 攻击的风险。
PKI 证书通常包括：
- 可识别信息，例如证书持有者的姓名、证书的序列号及其到期日期
- 公钥副本，可供他人使用，用于加密数据和验证数字签名，同时为保密和身份验证提供支持
- 签发 CA 的数字签名，用于确认真实性
完善的证书生命周期管理对于维持安全数据交换以及确保加密和身份验证正常运行而言至关重要。PKI 证书应从签发到失效全程进行跟踪和监控，并根据需要进行续订。到 2029 年 3 月，证书生命周期将从 398 天缩短到 47 天。随着 47 天证书成为全新标准，企业必须实现自动化管理，以确保在证书过期时能够及时续订，或在证书遭遇泄露时及时予以吊销。
证书颁发机构
证书颁发机构是创建和颁发数字证书的可信第三方组织。 它们负责身份验证，为构建安全数字通信信任链提供助力。
所有 CA 均维护证书吊销列表 (CRL)，该列表记录了在预定到期日期之前吊销的证书。 它可以帮助组织识别失效或不再安全的证书。
从广义上讲，CA 有两种类型：
- 根 CA： PKI 系统中最值得信赖的实体。 根 CA 使用自签名证书，通过向从属 CA 或直接向终端用户签发证书，从而创建信任基础。
- 从属 CA： 它们由根 CA 或更高层的从属 CA 认证。 这些机构会继承信任并向用户、设备或系统签发证书。
链中的每个证书都负责认证下一个证书的真实性，从而从上到下创建持续可靠的信任路径。CA 之间的任何环节发生泄露都可能打破信任链，从而对 PKI 安全性造成潜在威胁。
CA 遵循特定步骤以创建证书：
- 密钥生成： 用户或系统创建公钥和私钥对。
- 证书请求： 证书签名请求 (CSR) 发送至 CA，包括其公钥和识别信息。
- 验证：CA 通常在 RA 的帮助下验证用户的身份。
- 证书颁发： 一旦验证，CA 就会颁发包含用户公钥和其他身份详细信息的数字证书。 该证书还由 CA 的私钥签名，从而创建数字签名。
要达成这些步骤的规模化管理必须实现自动化、策略执行和可见性。 证书服务能帮助组织在降低风险并满足合规期望的同时避免增加复杂性。
证书管理系统
证书管理系统是可促进证书生命周期的各个方面的软件解决方案，涵盖从证书签发和配置，再到验证、吊销和续订。随着证书生命周期的缩短以及机器身份数量的剧增，这些工具在降低安全风险、提升可见性，以及确保各类加密资产在不同环境中得到一致管理方面，已变得至关重要。
例如，一些解决方案会保留所有相关活动的详细日志，以帮助遵守监管要求和内部审计。通过建立“单一事实来源”进行集中化管理，组织可以消除可见性盲区、降低因疏忽导致证书过期的风险，并强化对证书、密钥及其他加密资产的控制力。
自动化系统有助于防止“证书蔓延”— 即在缺乏集中监管的情况下，在复杂的混合环境中部署成千上万甚至数百万张证书的混乱现象。许多企业的 PKI 环境呈碎片化且高度依赖人工运维，传统的手工流程已然无法跟上当前的业务发展步伐。随着证书生命周期的缩短，推行自动化对于实时监控证书到期状态、处理续订，以及在证书引发安全风险或导致服务中断前及时将其吊销，具有至关重要的意义。
总体而言，现代证书管理系统是一个至关重要的控制点，可帮助组织预防与证书相关的故障中断、降低运营风险并维持合规，同时为后量子密码学等未来的安全挑战做好准备。
通用硬件安全模块
HSM 在 PKI 的安全架构中发挥着关键作用。 HSM 是物理设备，通过在强化的防篡改环境中生成、存储和处理密钥来保护加密过程。
例如，HSM 可以使用高质量的随机数生成器创建密钥对，这对于强加密而言至关重要。 由于密钥永远不会以明文形式离开设备，因此它们面临威胁的风险最低。
另一个重要功能是私钥存储。 将密钥保存在安全硬件中可以保护它们免受未经授权的实体提取或入侵。 此举不仅可以保护密钥，更能使企业在硬件层面执行严格的安全策略。 因此，对于所处行业需要高度安全保证（金融或政府等）的企业而言，HSM 是在 PKI 系统中保护数据和支持信任的重要因素。
