根CA

PKI通过CA层级为公钥绑定身份，其安全性依赖于“所有CA都严格保管私钥”这一假设；全球有数十家根CA，分布在不同司法管辖区，审计难以覆盖内部操作。

在PKI体系中，根证书通常离线保存且极少直接签发终端证书，中间CA承担日常签发职责。

中间CA是由根CA签发并授权的证书颁发机构，代表根CA执行日常证书签发工作。