PKI 通过加密技术进行运作，加密技术是密码学的子集，运用数学算法将可读数据转换为不可读的格式。
加密算法主要分为两类。 对称加密使用相同的密钥进行数据加密和解密。 如果密钥被泄露，数据将不再安全。
相比之下，非对称加密使用相互关联的两个密钥。 一个是公开共享的公钥，另一个是保密的私钥。 PKI 加密正是利用这种方法实现数据编码、用户身份验证和交易保护。
分步流程说明了 PKI 在实践中的运作原理：
- 每个用户、设备或系统生成一个保密私钥和一个公开共享的公钥。
- 证书颁发机构 (CA) 验证实体身份并签发数字证书，将公钥与身份进行绑定。 身份与密钥对的关联能够支持 PKI 身份验证，确保仅可信用户、设备和系统才能访问敏感资源。
- 传输加密数据时，发件人使用收件人的公钥。 只有匹配的私钥才能对其进行解密。
- 发件人也可以使用自己的私钥实施数字签名。
- 收件人系统向 CA 验证证书。 其通过证书吊销列表 (CRL) 或在线状态协议 (OCSP) 来确保证书未被吊销，从而确认密钥是否可信。 此举能够证明数据来源，确保数据完整性并确认数据未遭更改。
- 如果密钥或证书遭到泄露，PKI 系统可以立即吊销，从而维护整个网络的安全。
通过身份验证和数据保护，PKI 能够促进所有用户之间的信任。 它还可以防止中间人 (MITM) 攻击、冒充和欺骗行为。 例如，即使攻击者拦截了消息，在缺少私钥的情况下也无法解密。
组织可以通过 PKI 即服务 (PKIaaS) 管理 PKI，无需投入大量内部技术基础设施或专业知识。 这种基于云的解决方案提供可扩展的证书管理、自动化密钥轮换及监控功能，可帮助各种规模的组织保障通信和交易安全。
数字证书
数字证书，有时称为“公钥证书”，是一种用于识别公钥所有者的电子文档。 此证书使收件人能够确认密钥来自合法来源，从而降低了 MITM 攻击的风险。
PKI 证书通常包括：
- 可识别信息，例如证书持有者的姓名、证书的序列号及其到期日期
- 公钥副本，可供他人使用，用于加密数据和验证数字签名，同时为保密和身份验证提供支持
- 签发 CA 的数字签名，用于确认真实性
完善的证书生命周期管理对于维持安全数据交换以及确保加密和身份验证正常运行而言至关重要。 PKI 证书应从签发到失效全程进行跟踪和监控，并根据需要进行续订。 如果证书遭到泄露或已过时，则可能会被撤销。
证书颁发机构
证书颁发机构是创建和颁发数字证书的可信第三方组织。 它们负责身份验证，为构建安全数字通信信任链提供助力。
所有 CA 均维护证书吊销列表 (CRL)，该列表记录了在预定到期日期之前吊销的证书。 它可以帮助组织识别失效或不再安全的证书。
从广义上讲，CA 有两种类型：
- 根 CA： PKI 系统中最值得信赖的实体。 根 CA 使用自签名证书，通过向从属 CA 或直接向终端用户签发证书，从而创建信任基础。
- 从属 CA： 它们由根 CA 或更高层的从属 CA 认证。 这些机构会继承信任并向用户、设备或系统签发证书。
链中的每个证书都负责认证下一个证书的真实性，从而从上到下创建持续可靠的信任路径。CA 之间的任何环节发生泄露都可能打破信任链，从而对 PKI 安全性造成潜在威胁。
CA 遵循特定步骤以创建证书：
- 密钥生成： 用户或系统创建公钥和私钥对。
- 证书请求： 证书签名请求 (CSR) 发送至 CA，包括其公钥和识别信息。
- 验证：CA 通常在 RA 的帮助下验证用户的身份。
- 证书颁发： 一旦验证，CA 就会颁发包含用户公钥和其他身份详细信息的数字证书。 该证书还由 CA 的私钥签名，从而创建数字签名。
要达成这些步骤的规模化管理必须实现自动化、策略执行和可见性。 证书服务能帮助组织在降低风险并满足合规期望的同时避免增加复杂性。
证书管理系统
证书管理系统是可促进证书生命周期的各个方面的软件解决方案，涵盖从证书签发和配置，再到验证、吊销和续订。 这些工具能够降低风险、提高可见性，并确保以一致的方法处理加密资产。
例如，一些解决方案会保留所有相关活动的详细日志，以帮助遵守监管要求和内部审计。 通过单一事实来源进行集中管理，组织可以降低证书过期或被滥用的风险并加强数据保护。
自动化系统有助于防止“证书蔓延”，即在缺乏集中控制的复杂环境中部署数千张证书的情况。 这些系统能够监控过期日期、管理续订并在必要时吊销证书，以确保系统安全。
自动化还能帮助企业大规模执行 PKI 策略，从而更有效地分配 IT 资源，确保组织上下的一致性。 总体而言，自动化证书管理可防止因错误、停机和漏洞导致的运营中断，避免为犯罪分子提供可乘之机。
通用硬件安全模块
HSM 在 PKI 的安全架构中发挥着关键作用。 HSM 是物理设备，通过在强化的防篡改环境中生成、存储和处理密钥来保护加密过程。
例如，HSM 可以使用高质量的随机数生成器创建密钥对，这对于强加密而言至关重要。 由于密钥永远不会以明文形式离开设备，因此它们面临威胁的风险最低。
另一个重要功能是私钥存储。 将密钥保存在安全硬件中可以保护它们免受未经授权的实体提取或入侵。 此举不仅可以保护密钥，更能使企业在硬件层面执行严格的安全策略。 因此，对于所处行业需要高度安全保证（金融或政府等）的企业而言，HSM 是在 PKI 系统中保护数据和支持信任的重要因素。
