Một khi khoá bí mật và chứng chỉ khoá công khai đã được sinh ra và phân phối một cách thích hợp, giai đoạn sau phát hành của việc quản lý khoá/chứng chỉ bắt đầu. Giai đoạn này bao gồm:
Lấy chứng chỉ là tải chứng chỉ từ một kho ở xa (khi được yêu cầu)
Khôi phục khoá là lấy lại các khoá từ CA hoặc bên thứ ba tin cậy khi truy nhập thông thường tới nguyên liệu là không tiếp tục có thể.
Cập nhật khoá là sinh tự động cặp khóa bí mật/công khai mới và phát hành chứng chỉ tương ứng khi cặp khoá hợp pháp sắp hết hạn.
Lấy chứng chỉ (Certificate Retrieval)
Lấy chứng chỉ có liên quan tới khả năng sẵn sàng truy cập chứng chỉ của thực thể đầu cuối khi được yêu cầu. Như đã bàn tới trước đây, nhu cầu để lấy chứng chỉ của thực thể đầu cuối có thể xuất phát từ 2 yêu cầu cách sử dụng tách biệt:
Nhu cầu để mã dữ liệu được gửi tới một thực thể đầu cuối khác
Nhu cầu kiểm tra chữ ký số nhận được từ một thực thể đầu cuối khác Khi mã dữ liệu cho một hay nhiều người nhận, việc tải chứng chỉ về để mã cho mỗi người nhận là cần thiết. Ứng dụng chung nhất của yêu cầu này là để hỗ trợ việc quản lý khoá giữa người gửi của dữ liệu được bảo vệ và những người nhận được dự kiến. Điều này cho phép mã hoá đối xứng của dữ liệu (ví dụ, thông điệp thư điện tử) sử dụng khoá bí mật được sinh ra mới; khoá bí mật này có thể được mã bằng khoá công khai của mỗi người nhận (nó được trích ra từ chứng chỉ để mã của mỗi người nhận).
Trong trường hợp để kiểm tra chữ ký số, chứng chỉ kiểm tra của người gửi thông thường được gửi cùng với dữ liệu đã được ký như là một phần của giao thức trao đổi. Điều này tránh nhu cầu tìm kiếm chứng chỉ kiểm tra cần thiết ở kho từ xa. Tuy nhiên, cũng có thể rằng việc lấy các chứng chỉ kiểm tra từ kho ở xa lại được ưu tiên trong một số môi trường (ví dụ, khi người gửi buộc phải sử dụng kênh truyền thông có dải thông cực kỳ thấp).
Xác nhận tính hợp lệ của chứng chỉ (Certificate Validation)
Tính toàn vẹn của các chứng chỉ khoá công khai có thể được kiểm tra bởi vì chứng chỉ là được ký số bởi CA phát hành. Tuy nhiên, tính toàn vẹn chỉ là một trong số nhiều phép kiểm tra mà cần phải làm trước khi chứng chỉ có thể coi là hợp lệ. Quá trình để xác định xem một chứng chỉ đã cho có thể được sử dụng trong một
ngữ cảnh đã cho được coi như là việc xác nhận tính hợp lệ của chứng chỉ, nó bao gồm:
Chứng chỉ đã được phát hành bởi nơi tin cậy được xác nhận
Tính toàn vẹn của chứng chỉ là mạnh (chữ ký số trên chứng chỉ được kiểm tra là đúng)
Chứng chỉ vẫn ở trong giai đoạn hợp lệ đã được thiết lập (được chỉ ra bởi các tham số “Không hợp lệ trước” (Not Valid Before) và “Không hợp lệ sau” (Not Valid After) trong chứng chỉ)
Chứng chỉ chưa bị huỷ bỏ
Chứng chỉ được sử dụng theo cách tương ứng với các ràng buộc tên, các ràng buộc chính sách, và/hoặc các giới hạn cách sử dụng được dự kiến (như đã được chỉ ra bởi các thiết đặt ở phía máy trạm và các mở rộng chứng chỉ cụ thể như Certificate Policies, Name Constraints, Policy Constraints, Key Usage).
Việc kiểm tra tính hợp lệ của chứng chỉ được thực hiện trước các phép toán mật mã được phép làm, các phép toán này dựa trên khóa được chứa trong chứng chỉ. Thứ tự mà trong đó các phép toán này được thực hiện không được thống nhất chung, nhưng nhiều cài đặt đã được thiết kế để thực hiện các phép toán chiếm nhiều thời gian sau khi các phép toán ít đòi hỏi hơn đã được thực hiện thành công.
Khôi phục khoá (Key Recovery)
Như đã bàn luận ở trên, việc đảm bảo một thiết bị sao lưu-và-khôi phục khoá tự động trong một PKI toàn diện là rất quan trọng (cho cặp khoá mã/giải mã hoặc chứng chỉ kiểm tra). Không tránh khỏi, một số người sử dụng đầu cuối sẽ đánh mất truy cập tới các khoá bí mật mà được sử dụng cho các mục đích giải mã. Thiếu vắng khả năng sao lưu-và-khôi phục khoá, kết quả là sẽ mất vĩnh viễn thông tin quan trọng đối với doanh nghiệp. Cho nên, quản lý khoá bao gồm cả khả năng khôi phục các khoá giải mã bí mật từ thiết bị sao lưu ở xa chẳng hạn như trung tâm khôi phục khoá tín cậy hoặc chính CA.
Vì các lý do của tính mở rộng và để giảm tối đa gánh nặng của cả người quản trị PKI và của người sử dụng đầu cuối, quá trình này cần phải được tự động hoá để cực đại khả năng mở rộng. Một giao thức quản lý vòng sống toàn diện cần phải bao gồm hỗ trợ cho khả năng này.
Cập nhật khoá (Key Update)
Các chứng chỉ được gán một thời gian sống cố định (dựa vào Chính sách chứng thực hoặc Tuyên bố thực hành chứng thực được áp dụng) khi nó được phát hành. Khi một chứng chỉ gần hết hạn, cần phải phát hành cặp khoá bí mật/công khai mới và chứng chỉ tương ứng. Đó là việc cập nhật khoá.
Mặc dù không có một thống nhất chung về định nghĩa cho khái niệm “gần” hết hạn trong ngữ cảnh này, người ta đề xuất rằng việc cập nhật khoá cần tự động xảy ra một khi 70% hoặc 80% thời gian sống của khoá hiện tại đã bị khai thác; các khoá mới cần phải được sử dụng cho thao tác mã và tạo chữ ký số tiếp theo. Chú ý rằng các khoá bí mật để giải mã và các chứng chỉ để kiểm tra trước đây vẫn còn được sử dụng khi được yêu cầu. Điều này cho phép một thời gian chuyển hợp lý cho các bên tin cậy có được một chứng chỉ mới nhằm tránh mất dịch vụ liên quan tới việc nắm giữ chứng chỉ hết hạn.
Các khoá bí mật được sử dụng cho các mục đích ký có thể có một thời gian sống đã được chỉ ra mà có thể ít hơn hoặc bằng thời gian sống của chứng chỉ để kiểm tra tương ứng. Nếu khoá bí mật hết hạn trước chứng chỉ đi kèm của nó, ngưỡng được thiết lập cho việc cập nhật khoá nên dựa vào việc hết hạn của khoá bí mật thay cho việc hết hạn của chứng chỉ để kiểm tra, cho nên thực thể đầu cuối luôn nắm giữ khoá ký hợp lệ. Cần nhấn mạnh sự kiện rằng việc cập nhật khoá (và chứng chỉ) nên xảy ra trước khi chứng chỉ hiện tại (hoặc khoá bí mật tương ứng, nếu thích hợp) hết hạn. Điều đó để tránh bất kỳ một chậm trễ hoặc kẽ hổng nào khả năng của thực thể đầu cuối tiến hành công việc mà không có gián đoạn không cần thiết bất kỳ. Cập nhật chứng chỉ sau khi chứng chỉ đã được cấp trước đó hết hạn thực ra bắt buộc chạy lại giai đoạn khởi tạo, nó sẽ bao gồm tương tác trực tiếp của người sử dụng đầu cuối, việc này có thể tránh được nếu làm khác đi.
Vì những lý do của tính mở rộng được, quá trình này cần phải được tự động hoá, và một giao thức quản lý vòng sống toàn diện bất kỳ cần phải bao gồm hỗ trợ cho khả năng này. Thêm vào đó, quá trình này cần phải hoàn toàn trong suốt đối với người sử dụng đầu cuối.
Khái niệm đổi mới chứng chỉ (certificate renewal) là khác với cập nhật chứng chỉ. Sự khác biệt cụ thể là ở chỗ đổi mới chứng chỉ giữ nguyên cặp khoá bí mật/công khai ban đầu, trong khi cập nhật chứng chỉ không như vậy (cặp khoá bí mật/công khai mới được sinh ra). Có lẽ, việc đổi mới chứng chỉ được sử dụng khi (1) các hoàn cảnh tương ứng với việc phát hành chứng chỉ ban đầu không thay đổi và (2) sức mạnh mật mã của cặp khoá bí mật/công khai là vẫn còn mạnh.
Tuy nhiên, việc đổi mới các chứng chỉ là một việc làm nguy hiểm trừ khi có các cảnh báo nào đó được đưa ra làm. Đặc biệt, cần phải nhận thức được rằng các chữ ký số được sinh ra dưới sự hỗ trợ của một tập hợp các thuộc tính chứng chỉ này có thể khác với các chứng chỉ số được sinh ra dưới một tập các thuộc tính chứng chỉ khác. Đã đề xuất ra một phương pháp để đạt được điều này là luôn gắn kèm chứng chỉ thích hợp để kiểm tra với chữ ký số.