Damit das asymmetrische Kryptosystem sinnvoll ist, müssen die Benutzer sicher sein, dass die anderen Parteien, mit denen sie kommunizieren, "sicher" sind, also dass ihre Identitäten und Schlüssel gültig und vertrauenswürdig sind. Um diese Sicherheit zu gewährleisten, müssen alle Benutzer einer PKI eine registrierte Identität besitzen. Diese Identitäten werden in einem digitalen X.509-Standardformat für digitale öffentliche Schlüssel gespeichert. Zertifizierungsstellen (CAs) stellen die Personen, Prozesse und Werkzeuge zur Erstellung digitaler Zertifikate dar, die die Namen von Benutzern sicher mit ihren öffentlichen Schlüsseln verknüpfen. Bei der Erstellung von Zertifikaten haben Zertifizierungsstellen eine Vertrauensposition in einer PKI. Solange Benutzer einer Zertifizierungsstelle und ihren Geschäftsrichtlinien für die Ausstellung und Verwaltung von Zertifikaten vertrauen, können sie den von der Zertifizierungsstelle ausgestellten Zertifikaten vertrauen. Dies wird als Fremdvertrauen bezeichnet. Zertifizierungsstellen erstellen Zertifikate für Benutzer, indem sie einen Satz von Daten digital signieren, der die folgenden Informationen (und zusätzliche Elemente) enthält: Der Name des Benutzers im Format eines so genannten Distinguished Name (DN). Der DN gibt den Namen des Benutzers und alle zusätzlichen Attribute an, die zur eindeutigen Identifizierung des Benutzers erforderlich sind (der DN könnte z. B. die Mitarbeiternummer des Benutzers enthalten). Ein öffentlicher Schlüssel (Public Key) des Benutzers. Der öffentliche Schlüssel wird benötigt, damit andere etwas für den Benutzer verschlüsseln oder die digitale Signatur des Benutzers verifizieren können. Die Gültigkeitsdauer (oder Lebensdauer) des Zertifikats (ein Startdatum und ein Enddatum). Die spezifischen Vorgänge, für die der öffentliche Schlüssel verwendet werden soll (ob zum Verschlüsseln von Daten, zum Prüfen digitaler Signaturen oder für beides). Die Unterschrift der Zertifizierungsstelle auf einem Zertifikat bedeutet, dass jede Manipulation des Inhalts des Zertifikats leicht erkannt werden kann. Die Signatur der Zertifizierungsstelle auf einem Zertifikat ist wie der manipulationssichere Verschluss eines Tablettenbehälters. Jede Manipulation des Inhalts eines Zertifikats wird sofort erkannt. Solange die Signatur der Zertifizierungsstelle auf einem Zertifikat überprüft werden kann, ist das Zertifikat integer. Da die Integrität eines Zertifikats durch die Überprüfung der Signatur der Zertifizierungsstelle festgestellt werden kann, sind Zertifikate inhärent sicher und können auf völlig öffentliche Weise verteilt werden (z. B. über öffentlich zugängliche Verzeichnissysteme). Benutzer, die einen öffentlichen Schlüssel aus einem Zertifikat abrufen, können sicher sein, dass der öffentliche Schlüssel gültig ist. Das heißt, die Benutzer können darauf vertrauen, dass das Zertifikat und der zugehörige öffentliche Schlüssel zu der durch den Distinguished Name angegebenen Entität gehören. Die Benutzer vertrauen auch darauf, dass der öffentliche Schlüssel noch innerhalb seiner definierten Gültigkeitsdauer ist. Darüber hinaus wird dem Benutzer zugesichert, dass der öffentliche Schlüssel unbedenklich in der Weise verwendet werden kann, für die er von der Zertifizierungsstelle zertifiziert wurde.