Die Authentizität des digitalen Zertifikats von Alice wird durch die Certificate Authority (CA) sichergestellt.
Wenn Alice mit Bob über einen unsicheren Kanal wie das Internet kommuniziert, kann Bob zwar durch den öffentlichen Schlüssel sicherstellen, dass sein Gegenüber tatsächlich im Besitz des zugehörigen privaten Schlüssels ist, aber er hat erst mal keine Möglichkeit zu beurteilen, ob sein Kommunikationspartner auch wirklich Alice ist. Schließlich könnte z.B. ein Hacker die Kommunikation abfangen und mit seinem eigenen Schlüsselpaar manipulieren, d.h. er verschlüsselt Daten mit seinem eigenen Key und behauptet gegenüber Bob das sei der Key von Alice.
Um das zu verhindern braucht man eine CA. Das ist ganz einfach gesagt eine Zertifizierungsstelle, der beide Kommunikationspartner (Alice und Bob) vertrauen. Das kann z.B. eine öffentliche Behörde sein. Die CA verifiziert die Identität des Zertifikatseigentümers. Wenn nun Bob ein digitales Zertifikat erhält welches vorgibt von Alice zu stammen, kann er dessen Authentizität durch eine unabhängige vertrauenswürdige Stelle, nämlich der CA, bestätigen lassen. Wäre das übermittelte Zertifikat jedoch zwischendrin durch einen Hacker manipuliert worden, hätte es einen anderen Fingerprint (weil der Hacker den privaten Schlüssel von Alice nicht kennt). Die CA teilt Bob dann mit, dass dieses Zertifikat nicht authentisch ist, da es nicht der tatsächlichen Prüfsumme von Alice entspricht.
Ungefähr vergleichbar ist das mit dem Postident-Verfahren. Stell dir vor du möchtest bei einer Onlinebank ein Konto eröffnen. Aufgrund gesetzlicher Vorschriften (z.B. Gesetze gegen Geldwäsche) ist die Bank verpflichtet deine Identität zu verifizieren. Nun handelt es sich aber um eine Onlinebank, die keine Filiale in deiner Stadt hat, d.h. du kannst da nicht einfach hingehen und deinen Ausweis vorlegen. Daher einigt ihr (du und die Bank) euch auf eine gemeinsame CA der ihr beide gleichermaßen vertraut. Das kann z.B. die Post sein. Du gehst also nun mit deinen Ausweispapieren und Dokumenten von der Bank zu deiner nächsten Postfiliale und lässt deine Identität dort bestätigen. Wenn die Post deine Papiere geprüft hat, bestätigt sie gegenüber der Bank, dass du wirklich derjenige bist als der du dich ausgibst.
