Eine Public-Key-Infrastruktur (PKI) ist ein Gesamtsystem aus Komponenten, Prozessen und Richtlinien, das digitale Zertifikate ausstellt, verteilt, prüft und bei Bedarf widerruft. Sie schafft das Vertrauen, das für die asymmetrische Verschlüsselung im Internet nötig ist: Ohne PKI wüsste niemand, ob ein Public Key wirklich zu der Person oder dem Server gehört, mit der man kommuniziert.
Komponenten einer PKI
Eine PKI besteht aus mehreren Bausteinen. Die zentrale Komponente ist die Zertifizierungsstelle (Certificate Authority, CA), die Zertifikate ausstellt und signiert. Eine Registrierungsstelle (Registration Authority, RA) prüft die Identität der Antragsteller und meldet sie an die CA weiter. Dazu kommen ein Verzeichnisdienst für veröffentlichte Zertifikate sowie Sperrdienste: Die Certificate Revocation List (CRL) ist eine Liste widerrufener Zertifikate, das Online Certificate Status Protocol (OCSP) erlaubt eine einzelne Statusabfrage. Häufig schützt ein Hardware-Security-Modul (HSM) die privaten Schlüssel der Zertifizierungsstelle.
Vertrauenskette
Das Vertrauen in eine PKI beginnt bei den Root-Zertifikaten, die in den Trust-Stores der Browser und Betriebssysteme eingebaut sind. Über Zwischenzertifikate (Intermediate) führt eine Kette bis zum eigentlichen Server-Zertifikat. Bei der Validierung prüft der Client jeden Kettenglied bis zum vertrauenswürdigen Anker — dieser Prozess läuft zum Beispiel bei jedem TLS-Handshake ab.
Einsatzgebiete
- HTTPS: Absicherung von Webseiten mit TLS-Zertifikaten
- E-Mail: S/MIME-Signaturen und -Verschlüsselung
- Code-Signing: Nachweis der Herkunft von Software
- VPN und WLAN-Unternehmensnetze: Geräte- und Nutzerzertifikate
Verwandte Grundlagen: X.509, Zertifizierungsstelle, Zertifikat, Certificate Transparency, RSA, ECDSA, Kryptographie.