อภิธานศัพท์

อะไรคือ PKI และทำไมมันสำคัญสำหรับลายมือชื่อดิจิตอล?

Public Key Infrastructure คือฐานประกาศเชิงประกาศของลายมือชื่อดิจิตอล. นี่เป็นการอธิบายในภาษาที่ง่ายต่อการเข้าใจ

ทีมวิจัยความน่าเชื่อถือดิจิทัล eSign.AIอ่าน 6 นาที

PKI in 60 seconds

Public Key Infrastructure (PKI) is a system of cryptographic technologies, policies, and processes that enable secure digital communication and signature verification. It is the foundation that makes digital signatures trustworthy: PKI binds a signer's identity to a cryptographic key pair, verified by a trusted Certificate Authority (CA).

Key pair

Private key signs, public key verifies

Certificate Authority issues certificates

X.509

Standard certificate format

CRL/OCSP

Revocation checking mechanisms

How PKI works for digital signatures

The PKI signing process involves a key pair, a certificate, and a verification step.

The signer (or their CA) generates a mathematical key pair: a private key (kept secret) and a public key (shared openly). The keys are mathematically linked — what one encrypts, the other can decrypt.

The CA verifies the signer's identity (via identity documents, eKYC, or in-person verification) and issues a digital certificate (X.509 format) that binds the public key to the signer's verified identity data.

To sign a document, the signing software creates a hash of the document, then encrypts the hash using the signer's private key. The encrypted hash is the digital signature. It is attached to or embedded in the document.

To verify, the recipient uses the signer's public key (from the certificate) to decrypt the signature hash. They also compute the document hash independently. If the two hashes match, the signature is valid — the document has not been altered since signing.

The components of a PKI system

PKI is more than just key pairs. A complete PKI ecosystem includes several interacting components.

Certificate Authority (CA)

The trusted entity that issues digital certificates. The CA verifies the identity of certificate applicants, issues certificates, maintains a directory of valid certificates, and revokes certificates when they are compromised or expire.

Registration Authority (RA)

An optional component that handles identity verification on behalf of the CA. The RA collects and verifies identity documents but does not issue certificates directly. In some systems, the CA performs both functions.

Certificate revocation (CRL/OCSP)

When a certificate is compromised or no longer valid, it must be revocable. Certificate Revocation Lists (CRLs) are periodic lists of revoked certificates. OCSP (Online Certificate Status Protocol) provides real-time revocation status. Both are checked during signature validation.

Trust chain

A certificate is trusted because it is issued by a CA, which is trusted because it is accredited by a root CA or national trust framework. This chain of trust — root CA → intermediate CA → end-user certificate — is what makes PKI-based signatures verifiable by anyone.

PKI implementation data: costs, key management, and performance

Concrete PKI data for technology evaluators.

HSM (Hardware Security Module) costs

FIPS 140-2 Level 3 HSM (required for QES): $8,000-25,000 per unit. Cloud HSM (AWS KMS, Azure Key Vault): $1-3 per key/month + $0.03 per 10K operations. eSign.AI manages HSM infrastructure in-house, eliminating this cost for customers. A typical enterprise PKI deployment requires 2-4 HSMs (production + DR + staging).

Key generation and signing performance

RSA 2048 signing in HSM: 50-200 ms per operation. ECC P-256 signing in HSM: 5-30 ms. RSA 2048 verification: 1-3 ms. Certificate chain validation (3-level): 10-50 ms including CRL check. At 100 signatures/second sustained, RSA 2048 requires 3-5 HSM instances; ECC P-256 requires 1.

PKI attack surface

The weakest link in PKI is key management, not cryptography. Common failures: private key stored in software (not HSM), shared service accounts with signing keys, insufficient key rotation, and lack of dual control for key operations. eSign.AI enforces HSM-only key storage and multi-party approval for all signing operations above $100K value.

PKI for enterprise signing: build vs buy vs managed

Decision framework for organisations evaluating PKI infrastructure for signing.

Build your own PKI

Building an in-house PKI requires: HSM hardware ($8K-25K per unit, 2-4 for production+DR), CA software (OpenSSL is free, enterprise CA like Microsoft ADCS costs $3K-15K licensing), PKI expertise (2-3 FTE security engineers), ongoing audit and compliance overhead. Suitable for large enterprises with >100K signatures/year and strict data sovereignty requirements. Not recommended for SMEs — the total cost of ownership exceeds managed service pricing below ~50K signatures/year.

Use a managed signing service

Managed services like eSign.AI handle HSM, CA, certificate issuance, revocation, timestamping, and audit trails as a packaged offering. Advantages: no capital expenditure, no PKI expertise needed, faster deployment, built-in compliance with eIDAS/ETO/ETA. Disadvantages: less control over key management policies, potential vendor lock-in, per-transaction costs at high volume. Most APAC businesses choose managed services because local CA partnerships (Singpass, iAM Smart, PSrE) are difficult to replicate in-house.

Hybrid: การลงลายมือชื่อจัดการและ CA ท้องถิ่น

บริษัทบางแห่งปฏิบัติการด้วยโมเดลแบบผสม: ใช้บริการจัดการสำหรับการลงลายมือชื่อส่วนใหญ่ แต่ยังคงใช้ CA ท้องถิ่นสำหรับกรณีใช้งานเฉพาะทาง (เอกสารลับภายใน การแจ้งเข้าระบบของรัฐบาลที่ต้องการ CA ในประเทศ) eSign.AI สนับสนุนโมเดลนี้ผ่าน API ของตน องค์กรสามารถใช้ CA ของตนเองสำหรับประเภทเอกสารบางประเภท ในขณะที่ใช้บริการจัดการ QTSP ของ eSign.AI สำหรับประเภทเอกสารอื่น

คำถามที่ตั้งต่อ PKI

Public Key Infrastructure. มันเป็นส่วนผสมของเทคโนโลยี นโยบาย และกระบวนการที่สนับสนุนการใช้หนังสือรับรองดิจิตอลและลายมือชื่อเชิงประกาศ

แนวทางที่ eSign.AI ใช้ในปฏิบัติทางปฏิบัติการ

eSign.AI ใช้โครงสร้าง PKI กับหนังสือรับรองจาก CA ที่ได้รับการรับรองในหลายเขตการปกครอง ให้การรับรองลายมือชื่อที่เชื่อฟังก์ชันเชิงประกาศและปฏิบัติตามข้อบังคับทางกฎหมายท้องถิ่น

ทีมกำลังหารือแนวทาง eSignature ที่เหมาะกับธุรกิจ

สำรวจแนวทาง eSignature ที่เหมาะกับธุรกิจของคุณ

พูดคุยกับทีมของเราเกี่ยวกับข้อกำหนด eSignature ประเด็นด้านการปฏิบัติตามกฎระเบียบ และเวิร์กโฟลว์เอกสารในตลาดเป้าหมายของคุณ

ติดต่อเรา

อ่านต่อ