4.2.2.1 Khái niệm
Kiến trúc CA đơn chỉ thích hợp cho tổ chức có số lượng người hạn chế. Trong trường hợp số lượng người trong tổ chức tăng lên, nhu cầu sử dụng thêm các CA khác là cần thiết. Vấn đề đặt ra là làm sao những thực thể cuối có chứng nhận được phát hành bởi các CA khác nhau nhưng có thể giao tiếp với nhau.
Một cải tiến của kiến trúc CA đơn là kiến trúc danh sách tín nhiệm cơ bản trong đó các dịch vụ PKI được cung cấp bởi nhiều CA. Trong kiến trúc này, các thực thể cuối phải duy trì một danh sách các CA mà họ tin cậy và chỉ sử dụng các chứng nhận và CRL được phát hành bởi các CA trong danh sách các CA được tín nhiệm của nó.
Hình 4.5. Kiến trúc danh sách tín nhiệm
4.2.2.2 Đường dẫn chứng nhận
Tuy có nhiều CA trong kiến trúc nhưng những CA này không thiết lập một mối quan hệ tín nhiệm giữa chúng. Do đó, đường dẫn chứng nhận trong kiến trúc danh sách tín nhiệm cũng chỉ chứa duy nhất một chứng nhận đơn.
Hình 4.6. Đường dẫn chứng nhận trong kiến trúc danh sách tín nhiệm
Trong ví dụ trên, đường dẫn chứng nhận của các thực thể cuối được mô tả như sau:
[CA−1 DBPhương]
[CA−1HTPTrang]
[CA−2TMTriet]
[CA−3LVMinh]
4.2.2.3 Nhận xét
Ngược lại với kiến trúc CA đơn trong đó CA mới không thể được thêm vào PKI, trong kiến trúc này ta có thể thêm CA mới bằng cách thay đổi trong danh sách tín nhiệm. Mặc dù kiến trúc này có một ưu điểm dễ thấy trong việc đơn giản trong thiết kế nhưng đôi khi nó có thể trở nên hoàn toàn phức tạp. Với sự tăng thêm của số lượng CA được tin cậy bởi một thực thể, số lượng thực thể trong danh sách tín nhiệm của tăng lên. Ngoài ra, thông tin quan trọng về các CA được tin cậy cũng được duy trì bởi mọi thực thể. Sự cập nhật thông tin này có thể cho thấy một nhiệm vụ vất vả cho các thực thể khi số lượng CA tăng lên.
Mô hình này được thực thi trong các trình duyệt web Netscape và Microsoft, cho phép người sử dụng linh động trong việc thêm vào hay gỡ bỏ CA từ danh sách tín
nhiệm của mình. Tuy nhiên, một tổ chức hiểm độc có khả năng thêm một chứng nhận CA không có thật hay giả mạo vào danh sách và từ đó các chứng nhận người dùng không có thật được xác nhận bởi trình duyệt.