Jak już wielokrotnie mówiliśmy, problem rozwiązuje się wokół zaufania i zasad, które sprawiają, że zaufanie to jest uzasadnione. Jedną z przydatnych definicji, która odnosi się do tego, jest certyfikacja: „ocena, czy produkt jest odpowiedni dla danego zastosowania”. Certyfikat w naszym przypadku jest pewnym wiarygodnym dowodem na to, że zidentyfikowana osoba ma prawo do zbioru przywilejów. Certyfikat wydaje urząd certyfikacji. Weźmy prosty przykład, w jaki sposób może to umożliwić transakcję. Załóżmy, że ktoś podający się za „Alicję” publikuje klucz publiczny. Bob chce prowadzić interesy z prawdziwą Alicją. Skąd wie, że ona i „Alice” to rzeczywiście ta sama osoba? To, czego wymaga Bob, to niepodrabialny dokument od publicznie znanego organu, który wiąże klucz publiczny „Alicji” z prawdziwą Alicją. Jak pokazano na rysunku, Alicja zwraca się do urzędu certyfikacji i prosi go o zweryfikowanie jej klucza publicznego
Po przeprowadzeniu należytej staranności, a może nawet spotkania na żywo między Alicją a członkiem władz, ten ostatni zgadza się, że Alicja jest tym, za kogo się podaje. Teraz Alicja musi zaufać: musi założyć, że urząd certyfikacji jest powszechnie znany i monitorowany do tego stopnia, że po opublikowaniu „jego” klucza publicznego ma pewność, że „to” naprawdę. Po wykonaniu tej czynności organ tworzy zaszyfrowaną wiadomość ze swoim kluczem prywatnym, który zawiera klucz publiczny Alicji. Alicja wysyła tę wiadomość, certyfikat, do Boba, zanim przystąpią do negocjacji biznesowych. Wszystko, co Bob musi zrobić, to użyć klucza publicznego certyfikatu do odszyfrowania certyfikatu, a tym samym ustalenia tożsamości „Alicji”. Bob wie, że klucz autorytetu jest prawdziwy i wie, że autorytet zna klucz „Alice”, aby naprawdę pochodzić od Alicji. Wspomnieliśmy o zaufaniu. Fakt, że pierwsza i druga strona transakcji są gotowe zaufać osobie trzeciej (urzędowi certyfikacji), ma kluczowe znaczenie dla procesu. Zaufanie musi działać na dwa sposoby: strony muszą wierzyć, że organ jest tym, za kogo się podaje, a także ufać, że jego procesy są uczciwe i kompetentne. Zapewnienie obu tych warunków jest trudne dla jednego organu. Jest bardzo mało prawdopodobne, aby jedna organizacja mogła przeprowadzić rzetelny audyt wszystkich stron, które chciały zawrzeć duże i małe transakcje na całym kontynencie.
Jednym ze sposobów obejścia tego problemu skalowalności jest stworzenie wielopoziomowej hierarchicznej struktury urzędów certyfikacji [85]. Wyższe, bardziej ogólne władze uwierzytelniałyby klucze publiczne niższych, bardziej wyspecjalizowanych władz. Można nawet wyobrazić sobie sieć zamiast drzewa hierarchii zaufania z kilkoma niezależnymi organami weryfikującymi certyfikat. Certyfikat musi potwierdzać klucz publiczny strony, którą kontrolował, ale może, a nawet powinien, zawierać również inne informacje. Musi określać algorytm szyfrowania, do którego odnosi się klucz publiczny strony uwierzytelnianej, a także zawierać datę wygaśnięcia certyfikatu. Ta ostatnia jest bardzo ważną informacją i musi wynikać z oceny wartości w imieniu urzędu certyfikacji jako jak długo strona uwierzytelniona może zachować integralność prywatnego klucza. (Zwróć uwagę na zwykły kompromis między bezpieczeństwem a wygodą: im częściej klucz jest ponownie certyfikowany, tym więcej kłopotów, ale bardziej prawdopodobne, że jest ważny). Certyfikat może również zawierać inne informacje istotne dla ogólnych relacji handlowych; na przykład może przechowywać informacje o licencjach na zajmowanie się pewnymi informacjami i przeprowadzanie regulowanych procesów (lekarze, usuwanie niebezpiecznych odpadów itp.). Może również zawierać warunki umowne – limity ubezpieczenia, władze w organizacji (np. „oficer finansowy”) i tak dalej. Niektóre z nich mają szczególne zastosowanie w transakcjach między przedsiębiorstwami i zaczynają rozszerzać rolę certyfikacji organów poza zwykłą certyfikację finansową. Podobieństwa i możliwości integracji tego z organami ratingowymi PICS i P3P powinny być jasne.