4.2.1.1 Khái niệm
Kiến trúc CA đơn là kiểu kiến trúc PKI cơ bản nhất. Trong kiểu kiến trúc này, chỉ có một CA phát hành và phân phối các chứng nhận hay danh sách các chứng nhận bị hủy (CRL) đến các thực thể cuối. Tất cả thực thể đó tín nhiệm CA này và chỉ sử dụng các chứng nhận được phát hành bởi CA đó. Không có mối quan hệ tín nhiệm giữa các CA trong kiến trúc này bởi vì chỉ tồn tại duy nhất một CA. Mọi thực thể trong kiến trúc này giao tiếp với nhau trong một môi trường tin cậy nhờ sử dụng cùng một điểm tín nhiệm (trust point) chung chính là CA đó. Hình sau mô tả một kiến trúc CA đơn.
Hình 4.3. Kiến trúc CA đơn
Hình trên cho thấy DBPhương và HTPTrang là hai thực thể tín nhiệm CA-1. Vì thế, cả hai có thể kiểm tra và xác nhận các chứng nhận của nhau trước khi giao tiếp.
4.2.1.2 Đường dẫn chứng nhận
Trong kiến trúc này, sự xây dựng đường dẫn chứng nhận cực kỳ đơn giản. Có thể nói rằng không có sự xây dựng đường dẫn nào trong kiến trúc CA đơn do kiến trúc này chỉ bao gồm duy nhất một CA hay điểm tín nhiệm và vì vậy một chứng nhận đơn thể
hiện toàn bộ đường dẫn. Hình sau là một ví dụ thể hiện các đường dẫn chứng nhận trong kiến trúc CA đơn.
Hình 4.4. Đường dẫn chứng nhận trong kiến trúc CA đơn
Bằng cách sử dụng ký hiệu [Tên CA Tên thực thể cuối] cho biết CA đó phát hành chứng nhận cho thực thể cuối, đường dẫn chứng nhận của các thực thể cuối được mô tả như sau:
[CA−1 DBPhuong]
[CA−1HTPTrang]
[CA−1TMTriet]
Dễ thấy chứng nhận được phát hành bởi CA−1 cho thực thể cuối là đường dẫn chứng nhận hoàn chỉnh và chỉ gồm có một chứng nhận.
4.2.1.3 Nhận xét
Triển khai một kiến trúc CA đơn hoàn toàn đơn giản bởi vì chỉ cần phải thiết lập duy nhất một CA. Tuy nhiên, ưu điểm đó cũng chính là khuyết điểm của kiến trúc. Do chỉ có một CA duy nhất nắm giữ các thông tin quan trọng của mọi thực thể cuối, nếu khóa bí mật của CA bị tổn thương thì mọi chứng nhận được phát hành bởi CA này sẽ trở nên vô hiệu, và kết quả là hệ thống PKI sụp đổ hoàn toàn. Vì vậy, trong trường hợp khóa công khai của CA bị tổn thương, CA nên lập tức thông báo tình trạng này đến mọi thực thể. Hơn nữa, nếu khóa bí mật của CA bị tổn thương, CA cần phải được tái thiết lập. Để tái thiết lập một CA, mọi chứng nhận được phát hành bởi CA phải được thu hồi và phải được phát hành lại đồng thời thông tin về CA mới sau đó phải
được chuyển đến mọi thực thể cuối. Vì tính chất quan trọng đó, CA phải có các thủ tục cho việc bảo vệ khóa bí mật của nó và cũng nên có một cơ chế an toàn cho việc xác nhận trực tuyến của các chứng nhận được phát hành bởi các thực thể khác nhau. Kiến trúc CA không thể mở rộng quy mô do nó không cho phép bất kỳ CA mới nào thêm vào PKI. Vì vậy, nó chỉ phù hợp cho một tổ chức nhỏ với số lượng người giới hạn và khi kích thước của tổ chức tăng lên làm cho kiến trúc này trở nên bị quá tải.