Dalam pembahasan sebelumnya, kita telah menjelajahi kriptografi kunci publik (asimetris) yang menggunakan pasangan kunci (privat dan publik) dan tanda tangan digital untuk otentikasi dan non-repudiasi. Namun, muncul satu pertanyaan krusial: bagaimana kita bisa yakin bahwa kunci publik yang kita terima benar-benar milik entitas (situs web, individu, perusahaan) yang diklaimnya? Bagaimana kita menghindari penyerang yang mungkin mencoba memberikan kunci publik palsu kepada kita dalam serangan Man-in-the-Middle? Menjawab tantangan kepercayaan terhadap kepemilikan kunci publik inilah peran fundamental dari Sertifikat Digital. Sertifikat digital dapat dibayangkan sebagai "kartu identitas" elektronik yang mengikatkan secara aman sebuah kunci publik dengan identitas pemiliknya, menjamin bahwa kunci publik tersebut memang sah milik entitas yang bersangkutan dan belum dimodifikasi.
Sebuah sertifikat digital biasanya mengandung informasi penting seperti kunci publik pemilik, nama atau identitas pemilik (seperti nama domain situs web atau nama perusahaan), nama otoritas yang menerbitkan sertifikat tersebut, masa berlaku sertifikat, dan yang terpenting, tanda tangan digital dari pihak yang menerbitkannya. Pihak yang bertanggung jawab untuk memverifikasi identitas pemilik kunci dan menerbitkan sertifikat ini dikenal sebagai Certificate Authority (CA). CA adalah organisasi terpercaya (seperti lembaga penerbit paspor di dunia nyata) yang berperan sebagai pihak ketiga yang netral dan diakui. Ketika sebuah CA menerbitkan sertifikat, mereka secara digital menandatangani sertifikat itu menggunakan kunci privat mereka sendiri. Tanda tangan CA inilah yang diverifikasi oleh software kita (seperti browser atau sistem operasi) untuk memastikan keaslian sertifikat itu sendiri dan, secara tidak langsung, memvalidasi kepemilikan kunci publik di dalamnya.
Seluruh ekosistem yang memungkinkan penerbitan, manajemen, distribusi, dan penggunaan sertifikat digital ini dikenal sebagai Public Key Infrastructure (PKI). PKI bukanlah entitas tunggal, melainkan sebuah kerangka kerja komprehensif yang melibatkan CA, Registration Authority (pihak yang membantu CA memverifikasi identitas), repositori sertifikat, dan mekanisme pencabutan sertifikat. Inti dari model kepercayaan PKI adalah rantai kepercayaan: kita percaya pada CA akar (root CA) yang telah dipercaya dan disertakan dalam software kita secara default (seperti browser web). Karena CA akar ini mempercayai dan menandatangani CA penerbit sertifikat, dan CA penerbit menandatangani sertifikat situs web atau entitas yang kita akses, kita dapat percaya pada kunci publik dalam sertifikat tersebut selama CA yang menerbitkannya dipercaya dan sertifikatnya valid. Penerapan PKI yang paling sering kita temui adalah dalam mengamankan koneksi web melalui SSL/TLS (indikator HTTPS pada browser), di mana server web menyajikan sertifikatnya untuk diverifikasi oleh browser klien melalui sistem PKI. Dengan demikian, sertifikat digital dan PKI adalah fondasi krusial yang memungkinkan transaksi dan komunikasi digital yang aman dan terpercaya.
