PKI cung cấp thẻ chứng thực số cho các đối tác tham gia trao đổi thông tin trên môi trường Internet. Thẻ này được sử dụng để định danh một cá nhân, một tổ chức hoặc một dịch vụ thư mục nào đó.

1. Các thành phần của PKI:

Hệ thống PKI bao gồm các thành phần chính sau:

• PKI client
• Certification Authority (CA) – Ủy quyền thẻ chứng thực
• Registration Authority (RA) – Ủy quyền đăng ký
• Digital certificates (DC) – Thẻ chứng thực số
• Certificate Distribution System (CDS) – Hệ thống phân phối thẻ

Ngoài ra còn có các thành phần khác:

• Validation Authority (VA) – Ủy quyền xác nhận hợp lệ: Xác nhận tính hợp lệ thể chứng thực số của một đối tác trao đổi thông tin.
• Certificate revocation list (CRL): Chứa danh sách các thẻ chứng thực bị thu hồi bởi CA.
• Kỹ thuật mã hóa public key và privte key: Có thể được sử dụng để mã hóa và giải mã thông tin.
• Các đối tác (partner)/Đối tượng (Subject): Có thể là users, organizations hoặc service systems: Đây là những đối tượng muốn sử dụng kỹ thuật public key và private key để trao đổi thông tin một cách an toàn.

Hình sau đây cho ta một cái nhìn khái quát nhất về chức năng của các thành phần trong hệ thống PKI và sự hoạt động của hệ thống này:

User gửi yêu cầu phát hành thẻ chứng thực và public key của nó đến RA (1); Sau khi xác nhận tính hợp lệ định danh của user thì RA sẽ chuyển yêu cầu này đến CA (2); CA phát hành thẻ chứng thực cho user (3); Sau đó user “ký” thông điệp trao đổi với thẻ chứng thực mới vừa nhận được từ CA và sử dụng chúng (thẻ chứng thục số + chữ ký số) trong giao dịch (4); Định danh của user được kiểm tra bởi đối tác thông qua sự hỗ trợ của VA (5): Nếu thẻ chứng thực của user được xác nhận tính hợp lệ (6) thì đối tác mới tin cậy user và có thể bắt đầu quá trình trao đổi thông tin với nó (VA nhận thông tin về các thẻ chứng thực đã được phát hành từ CA (a)).    

a.   PKI client

            PKI client yêu cầu một thẻ chứng thực số từ CA hoặc từ RA. Điều này là cần thiết với PKI client, vì nó phải nhận được thẻ chứng thực số trước khi nó có thể truyền dữ liệu. RA kiểm tra giấy ủy nhiệm (credential) của client trước khi phát hành thẻ chứng thực số mà client yêu cầu.

            Sau khi client nhận được thể chứng thực số nó phải định danh chính nó, bằng cách sử dụng cùng một thẻ chứng thực cho tất cả các giao dịch tiếp theo.  

b.   Certification Authority (CA) – Ủy quyền thẻ chứng thực

            CA là thành phần thứ 3 tin cậy (trusted third part), nó nhận một yêu cầu phát hành (cấp) thẻ chứng thực, từ một tổ chức hoặc một cá nhân nào đó, và phát hành thẻ chứng thực yêu cầu đến họ sau khi đã xác thực client yêu cầu (Verisign và MSN là hai công ty CA nổi tiếng thế giới).

            CA dựa vào các chính sách, trao đổi thông tin trong môi trường bảo mật, của tổ chức để định nghĩa một tập các quy tắc, các thủ tục liên quan đến việc phát hành thẻ chứng thực. Mọi họat động tạo, phát hành, thu hồi thẻ chứng thực sau này đều tuân theo các quy tắc, thủ tục này. 

            Quá trình xác thực dựa trên CA có thể được minh họa như sau:

c.    Registration Authority (RA) – Ủy quyền đăng ký

Nhiệm vụ của RA kiểm tra yêu cầu thẻ chứng thực số của client.

Khi một PKI client gửi yêu cầu phát hành thẻ chứng thực số đến một CA, CA ủy quyền sự phản hồi xác thực yêu cầu đến RA. Sau khi kiểm tra yêu cầu thành công, RA forward yêu cầu đến CA. CA nhận yêu cầu, phát hành thẻ chứng thực yêu cầu, và gửi thẻ chứng thực đến RA. RA forward thẻ đó đến cho PKI client (gửi yêu cầu phát hành thẻ chứng thực trước đó).

d.   Digital certificates (DC) – Thẻ chứng thực số

Thẻ chứng thực số được xem như một card định danh (ID card) sử dụng trong môi trường điện tử/môi trường mạng máy tính. Nếu như trong thực tế, người ta dùng ID card để định danh duy nhất một cá nhân nào đó thì trong môi trường trao đổi thông tin an toàn, PKI sử dụng thẻ chứng thực số để định danh duy nhất một đối tượng nào đó trong suốt quá trình truyền thông.

Thẻ chứng thực số chứa các thông tin sau:

-         Số serial của thẻ chứng thực

-         Ngày hết hạn của thẻ chứng thực

-         Chữ ký số của CA

-         Public key của PKI client

Trong quá trình giao dịch, bên gửi gửi thẻ chứng thực số, cùng với dữ liệu đã được mã hóa, của nó cho bên nhận. Bên nhận cuối sử dụng thẻ chứng thực số này để xác nhận tính hợp lệ xác thực của bên gửi.

Bên nhận, sử dụng public key của CA để giải mã public key của bên gửi (được nhận cùng với thông điệp được mã hóa đến từ bên gửi). Sau khi định dang của bên gửi là được xác định, bên nhận sử dụng public key của bên gửi để giải mã dữ liệu mà nó nhận được.

e.    Certificate Distribution System (CDS) – Hệ thống phân phối thẻ

CDS lưu trữ tất cả các thẻ chứng thực đã được phát hành đến cho người sử dụng trên mạng. CDS cũng lưu trữ các cặp khóa, tính hợp lệ và “chữ ký” của các khóa public. Danh sách các khóa hết hạn, các khóa bị thu hồi do bị mất, do bị hết hạn cũng được CDS lưu trữ.