解決什么問題？
公鑰分發是為了解決公鑰偽造的問題。雖然每個用戶的公鑰是公開的，但是任何人都可以偽造其他用戶的公鑰並廣播或者傳給特定用戶。
解決方案
公開可訪問的目錄
由可信實體維護和分配公開目錄，目錄項記錄着每個通信方的身份和公鑰。每個通信方必須通過安全的認證通信注冊或更換自己的公鑰以及訪問其他用戶的公鑰。
缺陷：由於公鑰目錄完全公開，攻擊者可以入侵目錄管理者修改目錄或者扮演目錄管理者。
公鑰授權
公鑰授權是在公開目錄基礎上做了改進，管理員生成一對公私鑰對，用私鑰加密目錄，再引進一系列驗證來完成用戶公鑰的可靠傳遞，攻擊者若沒有私鑰無法修改目錄。
T是時間戳，N是臨時交互號。
公鑰證書
上面兩種方法的都依賴於目錄管理員，每次會話都需要訪問目錄管理員，因此目錄管理員就會成為系統的瓶頸。
公鑰證書進一步做了改進，通過引進第三方的數字簽名生成公鑰證書交由通信方自行管理，一次簽證重復使用，解決了第三方通信瓶頸的問題。
目前廣泛用於規范公鑰證書的標准是X.509標准。
X.509認證服務
該標准采用如下標注定義證書：
CA《A》 = CA{V , SN , AI , CA , UCA , A , UA , Ap , TA}
Y《X》b表示用戶X的證書是簽證機構Y發放的
Y{I}表示Y簽名I，包含I和I被加密后的Hash值
SN表示證書的序列號
AI表示用於給證書簽名的算法的標志
CA表示簽署證書機構的名稱
UCA表示CA的可選擇的唯一標志
A表示用戶A的名稱
UA表示A的可選擇的唯一標志
Ap表示用戶A的公鑰
TA表示證書的有效周期
CA用自己的私鑰簽署證書，如果用戶知道相應的公鑰就能驗證證書是CA簽署的。
如果A、B的公鑰證書由不同的CA簽證，則可通過不同CA之間的相互簽證來獲取彼此的公鑰，推薦采用層次結構放置CA證書，以利於建立強大的導航功能。
每個CA目錄入口中包含兩種證書：前向證書和后向證書
這個圖有點問題，每個節點應該是存自己簽證的證書和自己被其他CA簽證的證書
公共基礎設施PKI Public Key Infrastruction
PKI 系統是由硬件、軟件、人、策略和程序構成的一整套體系，用以創建、管理、存儲、分發和撤銷建立在非對稱密碼算法之上的數字證書。
PXIX模型是在X.509標准基礎上建立的認證體系的基本模型
