Khi người khởi tạo (người gửi) thông báo muốn sử dụng kỹ thuật khoá công khai để mã hoá một thông báo để gửi cho người nhận, anh ta cần một bản sao khoá công khai của người nhận. Khi một người bất kỳ muốn kiểm tra chữ ký số do người khác sinh ra, người kiểm tra cần một bản sao khoá công khai của người ký. Chúng ta gọi cả ngươiù mã hoá thông báo và người kiểm tra chữ ký số là những người sử dụng khoá công khai hay gọi ngắn gọn là người dùng.
Khi một khoá công khai được gửi đến cho một người dùng thì không cần thiết giữ bí mật khoá công khai này. Tuy nhiên, người sử dụng khoá công khai phải đảm bảo rằng khoá công khai được sử dụng đúng là của thành viên khác (người
nhận thông báo chủ định hoặc người tạo chữ ký sô). Nếu một đối tượng truy nhập có thể dùng một khoá công khai khác thay thế cho khoá công khai hợp lệ, các nội dung của thông báo mã hoá có thể bị lộ, các thành viên bất hợp pháp khác biết được và chữ ký số có thể bị làm giả. Nói cách khác, các biện pháp bảo vệ sẽ bị lộ nếu một đối tượng truy nhập có thể thay thế các khoá công khai không xác thực.
Đối với các nhóm thành viên nhỏ, yêu cầu này có thể được thoả mãn một cách dễ dàng. Ví dụ trong trường hợp có hai người quen biết nhau, khi người này muốn truyền thông an toàn với người kia, họ có thể có được bản sao khoá công khai của nhau bằng cách trao đổi các đĩa có chứa khoá công khai của từng người. Đây chính là hình thức phân phối khoá công khai thủ công. Tuy nhiên, hình thức phân phối khoá công khai thủ công này bị coi là không thực tế hoặc không thoả đáng trong phần lớn các lĩnh vực ứng dụng khoá công khai, đặc biệt khi số lượng người sử dụng trở nên quá lớn và ở phân tán. Các chứng chỉ khoá công khai giúp cho việc phân phối khoá công khai trở nên có hệ thống.
Hệ thống khoá công khai làm việc như sau: một CA phát hành các chứng chỉ cho những người nắm giữ cặp khoá công khai và khoá riêng. Mỗi chứng chỉ gồm có một khoá công khai và thông tin dùng để nhận dạng duy nhất chủ thể (subject) của chứng chỉ. Chủ thể của chứng chỉ có thể là một người, thiết bị, hoặc một thực thể khác có nắm giữ khoá riêng tương ứng (xem hình 16. Khi chủ thể của chứng chỉ là một người hoặc một kiểu thực thể hợp pháp nào đó, thì chủ thể thường được nhắc đến như là một thuê bao (subscriber) của CA. Các chứng chỉ được CA ký, bằng khoá riêng của CA.
Hình 17: Chứng chỉ khoá công khai đơn giản
Một khi các chứng chỉ này được thiết lập, nhiệm vụ của người sử dụng rất đơn giản. Giả thiết rằng một người đã có khoá công khai của CA một cách bí mật (ví dụ, thông qua phân phối khoá thủ công) và anh ta tin cậy CA phát hành các chứng chỉ hợp lệ. Nếu người dùng cần khoá công khai của một trong các thuê bao của CA sau này, anh ta có thể thu được khoá công khai của thuê bao đó bằng cách lấy ra từ bản
Thông tin nhận dạng chủ thể Khoá công khai của chủ thể Tên của CA
Chữ ký số của CA
Khoá riêng của CA
sao chứng chỉ của thuê bao. Chứng chỉ của thuê bao có thể được kiểm tra bằng cách kiểm tra bằng cách kiểm tra chữ ký của CA có trên chứng chỉ. Người sử dụng các chứng chỉ theo cách này được gọi là một thành viên tin cây.
Kiểu hệ thống này tương đối đơn giản và kinh tế khi thiết lập trên diện rộng và theo hình thức tự động, bỏi vì một trong các đặc tính quan trọng và theo hình thức tự động, bởi vì một trong các đặc tính quan trọng của chứng chỉ là: “Các chứng chỉ có thể được phát hành mà không cần phải bảo vệ thông qua các dịch vụ an toàn truyền thông truyền thống để đảm bảo tính bí mật, tính xác thực và tính toàn vẹn”.
Chúng ta không cần giữ bí mật khoá công khai, như vậy các chứng chỉ không phải là bí mật. Hơn nữa, ở đây không đòi hỏi các yêu cầu về tính xác thực và toàn vẹn, do các chứng chỉ tư bảo vệ (chữ ký số của CA có trong chứng chỉ cung cấp bảo vệ xác thực và toàn vẹn). Nếu một đối tượng truy nhập trái phép định làm giả một chứng chỉ khi chứng chỉ này đang được phát hành cho những người đang sử dụng khoá công khai, anh ta sẽ bị những người này phát hiện ra làm giả, bởi vì chữ ký số của CA được kiểm tra chính xác. Chính vì vậy, các chứng chỉ khoá công khai được phát hành theo các cách không an toàn, ví dụ như thông qua các máy chủ, các hệ thống thư mục hoặc các giao thức truyền thông không an toàn.
Lợi ích cơ bản của một hệ thống chứng chỉ là một người sử dụng có thể có được một số lượng lớn các khoá công khai của các thành viên khác một cách đáng tin cậy, xuất phát từ thông tin khoá công khai của một thành viên, đó chính là khoá công khai của CA.
Một chứng chỉ chỉ hữu ích khi người sử dụng khoá công khai tin cậy CA phát hành các chứng chỉ hợp lệ.
2.3.1.1 Đường dẫn chứng thực
Nếu việc thiết lập một CA (có thể phát hành các chứng chỉ khoá công khai cho tất cả những người giữ cặp khoá công khai và khoá riêng trên thế giới) là khả thi và tất cả những người sử dụng đều tin cậy vào các chứng chỉ do CA này phát hành thì chúng ta có thể giải quyết được vấn đề phân phối khoá công khai. Điều này không thể thực hiện được. Đơn giảm vì một CA không thể có đầy đủ thông tin về mối quan hệ với tất cả các thuê bao để có thể phát hành các chứng chỉ được tất cả người sử dụng chấp nhận. Vì vậy, chúng ta phải chấp nhận sự tồn tại của nhiều CA trên thế giới.
Giả thiết khi có nhiều CA, một người sử dụng giữ khoá công khai của một CA (CA này đã phát hành một chứng chỉ cho thành viên mà anh ta muốn truyền thông an toàn) một cách bí mật là không thực tế. Tuy nhiên, để có được khoá công khai của CA, người sử dụng có thể tìm và sử dụng một chứng chỉ khác có khoá công khai của Ca này nhưng do CA khác phát hành, khoá công khai của CA này được người sử dụng giữ an toàn.
Vì vậy, một người sử dụng có thể áp dụng phương thức đệ qui chứng chỉ để nhậ được khoá công khai của các CA và khoá công khai của những người từ xa. Điều này dẫn đến một mô hình gọi là dây chuyền chứng thực hoặc đường dẫn chứng thực, dựa vào các hệ thống phân phối khoá công khai. Mô hình này được minh hoạ trong hình 17 Người sử dụng có thể lấy và sử dụng khoá công khai của một người giữ cặp khoá bất kỳ, ví dụ như Nola, cung cấp một đường dẫn chứng
thực tin cậy từ một CA gốc của người sử dụng khoá công khai này tới Nola, thông qua một số các CA trung gian bất kỳ.
Hình 17: Đường dẫn chứng thực
2.3.1.2 Thời hạn hợp lệ và việc thu hồi
Chứng chỉ cơ bản và các mô hình đường dẫn chứng thực được trình bày ở trên được áp dụng riêng cho từng ứng dụng thực tế. Trước hết, phải thấy rằng, cặp khoá công khai và khoá riêng không phải hợp lệ mãi mãi.
Trong một hệ thống kỹ thuật, mỗi cặp khoá bất kỳ có thời gian tồn tại hạn chế để nhằm ngăn chặn các cơ hội thám mã và các tấn công có thể gây ra tổn thất.
Vì vậy, mỗi chứng chỉ có thời gian hợp lệ định trước, trên đó ghi ngày/giời có hiệu lực và ngày/giờ hết hạn. Sau khi một chứng chỉ hết hạn, sự giàng buốc giữa khoá công khai và chủ thể có thể không còn hợp lệ nữa và chứng chỉ không còn được tin cậy.Một người sử dụng khoá công khai không nên sử dụng một chứng chỉ đã hết hạn, trừ khi muốn xac nhận lại hoạt động trước đó; Ví dụ như khi kiểm ta chữ ký trên một tài liêu cũ.
Dựa vào thơi gian hết hạn của chứng chỉ, nếu chủ thể của chứng chỉ này vẫn có một khoá công khai hợp lệ (hoặc cùng một khoá hoặc một khoá mới) thì CA có thể phát hành một chứng chỉ mới cho thuê bao này.
Hơn nữa, trong trường hợp phát hiện khoá bị lộ hoặc nghi ngờ có thể bị lộ, thời hạn kết thúc của một chứng chỉ có thể bảo vệ người sử dụng chống lại việ tiếp tục sử dụng khoá công khai, thông qua một chứng chỉ đã được phát hành trước đo khi bị lộ. ở đây nhiều trường hợp trong đó có một CA muốn huỷ bỏ hoặc thu hồi
Khoá công khai
Chủ thể CA_B Khoá công khai của chủ thể NPH CA_A Chứng chỉ 1
Chủ thể CA_C Khoá công khai của chủ thể NPH CA_B Chứng chỉ 2
Chứng chỉ 3 Chủ thể Nola
Khoá công khai của chủ thể NPH CA_C Cặp khoá riêng và khoá công khai
một chứng chỉ trước khi thờihạn sử dụng của nó kết thúc. Ví dụ , các chứng chỉ bị thu hồi trong trường hợp phát hiện hoặc nghi ngờ khoá riêng bị lộ.