PKI 全称 Public Key Infrastructure，中文叫做公钥基础设施，核心结论就是 PKI 是一套完整的密码安全体系，它依靠数字证书证书机构也就是 CA，公钥私钥配对，证书吊销列表这些组件，实现身份认证数据加密和数字签名，广泛用在网页 HTTPS VPN 电子签名 企业内网安全等场景。之所以需要 PKI，是因为单纯的非对称加密只能解决加解密，但是无法确认公钥到底属于哪一个主体，很容易遭遇中间人攻击，PKI 就是解决公钥可信分发这个核心问题，由可信第三方 CA 来签发数字证书，把公钥和身份信息绑定在一起，让通信双方可以验证对方身份，确认公钥没有被篡改。整套体系不是单一软件，而是一套标准规范加软硬件服务的组合，包含 CA 证书注册机构 RA 证书仓库 证书吊销机制 密钥管理模块，各个组件配合完成证书申请审核签发更新撤销全生命周期管理。
PKI 核心组成模块
CA 证书机构，是整个 PKI 体系的信任根，负责审核身份，签发数字证书，根 CA 是最高信任节点，一般离线保存，下级子 CA 负责日常业务签发
RA 注册审核机构，作为 CA 前置审核单元，收集用户或者设备的申请资料，核验身份，审核通过之后再提交给 CA 签发证书
数字证书，也就是常说的 X509 证书，里面包含主体名称公钥有效期签发者信息序列号，还有 CA 的数字签名，相当于网络世界的身份证
证书存储仓库，用来存放已经签发的证书，供其他设备查询下载
证书吊销机制，包含 CRL 证书吊销列表和 OCSP 在线证书状态查询，证书还没到期但是密钥泄露或者主体变更的时候，可以提前吊销证书，让系统不再信任该证书
密钥对，公钥可以公开分发，私钥由持有者自己保管，公钥加密私钥解密，私钥签名公钥验签
PKI 核心工作流程
第一步 申请者生成自己的公私钥密钥对，保留私钥，把公钥还有身份材料提交给 RA
第二步 RA 核验申请者身份信息，审核通过之后，把申请请求转发给 CA
第三步 CA 使用自己的私钥，对申请者公钥和身份信息进行签名，生成 X509 数字证书，返还给申请者
第四步 通信的时候，一方出示数字证书，另一方验证 CA 签名，确认证书有效，确认证书没有被吊销，然后取出证书里面的公钥开展加密或者验签
第五步 证书临近到期，提前申请续期更新，如果私钥泄露，立刻提交吊销申请，更新 CRL 或者 OCSP 状态
PKI 核心功能表格
功能名称 作用说明
身份认证 验证通信对方真实身份，防止冒充
数据加密 使用对方公钥加密数据，只有对应私钥可以解密
数字签名 私钥对数据签名，接收方公钥验签，确认数据没有篡改并且来源可信
防抵赖 签名之后发送方不能否认已经发送该数据
信任传递 依靠根 CA 建立信任链，下级证书都可以被信任
常见应用场景
HTTPS 网站安全访问，浏览器内置根 CA，网站证书由 CA 签发，实现加密传输
企业 VPN 远程接入，客户端和网关使用 PKI 证书做身份认证
电子签章电子合同，基于 PKI 数字签名具备法律效力
物联网设备认证，设备出厂预置证书，设备联网的时候做身份校验
代码签名，软件厂商给程序签名，用户验证程序没有被篡改
PKI 相关重要概念补充
信任链，根 CA 自签名证书作为信任起点，子 CA 证书由根 CA 签发，终端证书由子 CA 签发，验证的时候一层一层向上校验签名，这个链路就是信任链
证书有效期，所有 PKI 证书都设置有效期，到期之后证书自动失效，必须续期，这是 PKI 安全设计的重要部分
根 CA 安全，根 CA 私钥是整个 PKI 体系的核心，如果根 CA 私钥泄露，整套 PKI 信任体系都会失效，所以根 CA 一般离线保管，减少暴露风险
综合总结，PKI 指的就是公钥基础设施，它不是单独一个算法，而是一套基于公钥密码学的完整信任体系，核心依靠 CA 和数字证书解决公钥可信问题，实现认证加密签名防篡改，现在互联网安全绝大多数加密通信底层都离不开 PKI 体系支撑。
【常见问题】
问题 1 PKI 里面 CA 是什么角色
回答 1 PKI 体系里面 CA 也就是证书机构，是 PKI 的信任核心，负责审核身份并且签发数字证书，是整套 PKI 信任链的根节点。
问题 2 PKI 和非对称加密是什么关系
回答 2 非对称加密是 PKI 底层密码算法基础，PKI 在非对称加密之上增加 CA 证书信任管理，PKI 解决单纯非对称加密无法确认公钥归属的问题。
问题 3 PKI 里面 CRL 是做什么的
回答 3 PKI 中的 CRL 是证书吊销列表，在 PKI 体系里用来记录已经提前作废的证书，设备校验 PKI 证书的时候会查询 CRL，识别已经失效的证书。
问题 4 HTTPS 是不是使用 PKI 技术
回答 4 HTTPS 底层就是 PKI 技术，网站的 SSL 证书属于 PKI 体系里的数字证书，依靠 PKI 信任机制实现网站身份校验和加密传输。
问题 5 PKI 证书到期之后还可以继续使用吗
回答 5 PKI 证书到达有效期之后会自动失效，PKI 体系不会继续信任该证书，需要提前申请续期，重新签发新的 PKI 数字证书。
【免责申明】
本文属于网络安全技术科普，PKI 相关标准规范会随国际标准更新，实际部署 PKI 系统请参考对应行业标准与官方文档，不同行业 PKI 落地要求存在差异，本文内容不构成项目部署的专业安全方案。