PKI是一种全新的安全技术,它是一种按照标准的密钥管理平台,为网络应用程序提供加密和数字签名所需的密钥和证书管理。PKI结合了软硬件系统与安全策略,有全套的安全机制,使用户在未知对方身份或分布地很大时,将证书当做基础,根据一连串的信任关系实施通信与电子商务交易。完整的PKI系统定有如下五个基本部分,构建PKI也将按其展开。
1.认证机构(CA)
认证机构即数字证书的申请和发行机构，它是PKI的核心，也是其信任的基础。其作用包括发放证书、确定证书的有效期与按照发布证书撤销列表保证必要时可撤销证书。CA当前普遍采用的是一种安全机制,也就是用认证机制的基础为建立CA与配套的RA系统。
注册审批机构是CA证书发放、管理的延伸,它确认用户的身份,并提交证书请求给CA,确定信任级别的过程质量能置于数字证书中,RA主要功能是收集用户信息与确认其身份,同时还对发放的证书进行相应的管理。颁发的证书可以存在于IC卡等上面。RA系统是CA正常运行中不可或缺的一部分。
证书按照PKI环境的结构由相应的途径负责证书的分发,如可通过用户自己,或是目录服务。目录服务器可是组织中已有的,也可是PKI方案中给出的。
2.数字证书库
数字证书库的作用是存储签发了的数字证书与公钥,用户可通过其得到需要的其他用户的证书与公钥。构造证书最好的措施是用支持LDAP的目录系统,用户或涉及的应用由LDAP访问证书库。系统一定得使证书库完整,为避免证书被伪造或篡改。
3.密钥备份及恢复系统
若用户遗失了对数据进行解密的密钥,则是不能解密的,这将导致合法数据丢失。为防止类似状况出现,PKI有了密钥的备份和恢复机制。但需明确,密钥的备份和恢复定要通过可靠的机构实施。密钥备份和恢复仅适用于解密密钥,签名私钥为使其有唯一性，因而无法备份。
4.证书作废系统
证书失效处理系统是PKI的重要组成部分，存在的原因会为密钥介质不见了或用户的身份有变等。为达此目的，PKI得给出作废证书的一连串机制。作废证书通常将证书列入证书撤销列表中完成。通常,系统中通过CA创建与维护一张按时更新的CRL,而由用户在验证证书时检查此证书有没有在CRL列表。证书的作废须在安全与能验证时实施,确保CRL的完整性。
5.应用接口(API)
PKI是为了让用户能够轻松使用加密等数字签名的安全服务，所以一个完整的PKI必须要有一个好的应用程序接口系统,使各种应用以安全、统一、可信的手段和PKI交互,促使安全网络环境是完整并易用的,同时减少管理维护成本。
