密码学包括密码编程学和密码分析学。密码编程学主要研究信息的编码，构建各种安全有效的密码算法和协议，用于消息的加密、认证方面；密码分析学是研究破译密码获取消息，或对消息进行伪造。
密码学的发展史大致分为以下四个阶段：
密码按其功能特性主要分为三类：对称密码（也称为传统密码）、公钥密码（也称为非对称密码）和安全哈希算法。
对称密码算法的基本特征是用于加密和解密的密钥相同，或者相对容易推导，因此也称为单密钥算法。对称密码算法常分为分组密码算法和流密码算法。分组密码是将明文消息编码表示后的数字（简称明文数字）序列，划分为长度为N的组（可看成长度为N的矢量），每组分别在密钥的控制下变换成等长的输出数字（简称密文数字）序列。流密码是指利用少量的密钥（制乱元素）通过某种复杂的运算（密码算法）产生大量的伪随机位流，用于对明文位流的加密。
公钥密码体制是建立在数学函数的基础上，而不是基于替代和置换操作。在公钥密码系统中，加密密钥和解密密钥不同，由加密密钥推导出相应的解密密钥在计算上是不可行的。系统的加密算法和加密密钥可以公开，只有解密密钥保密。
哈希（Hash）函数是进行消息认证的基本方法，主要用于消息完整性检测和数字签名。
公钥基础设施也称为公开密钥基础设施。PKI是一种遵循标准、利用公钥加密技术提供安全基础平台的技术和规范，能够为网络应用提供密码服务的一种基本解决方案。
认证权威机构CA，专门负责数字证书的产生、发放和管理。CA是KPI的核心组成部分，PKI体系也往往被称为PKI/CA体系。CA的主要功能包括：
RA也称为证书注册中心，负责数字证书的申请、审核和注册，同时也是CA认证机构的延伸。在逻辑上，RA和CA是一个整体，主要负责所有证书申请者的信息录入、审核等工作，同时对发放的证书进行管理。RA的主要功能如下：
数字证书是一段经CA签名的、包含拥有者身份信息和公开密钥的数据体，是各实体的身份证明，具有唯一性和权威性。数字证书主要包括3部分内容：证书体、签名算法以及CA签名数据。证书体一般包括以下内容：版本号、序列号、签名算法标识、签发者、有效期、主体名、主体的公钥、发行者唯一标识符、主体唯一标识符、扩展域。
证书/CRL库主要用来发布、存储数字证书和证书撤销列表，供用户查询、获取其他用户的数字证书，为系统中的CRL所用。
终端实体指拥有公/私钥对和相应公钥证书的最终用户，可以是人、设备、进程等。
严格层次结构模型是一种集中式的信任模型，又称为树模型或层次模型。严格层次结构模型是一棵树，它比较适合具有层次结构的机构。
在层次结构模型中，信任建立在严格的层次机制上，优点是其结构与许多组织或单位的结构相似、容易规划，缺点是不同单位的CA必须在一个共同的根CA管理之下，根CA会导致风险集中。
网状信任结构模型也称为分布式信任模型。
网状信任结构模型的优点是结构灵活、扩展容易，适合动态变化的组织机构，因为单CA安全性的削弱不会影响整个PKI的运行，缺点是证书路径的扩展与层次结构比较复杂，选择证书路径比较困难。
桥信任结构模型也称为中心辐射式信任模型。任何结构类型的PKI都可以通过桥CA连接在一起，实现互相信任。
应用：虚拟专用网、安全电子邮件、web安全应用、电子商务/电子政务等领域。
发展：
属性证书（AC）是特权管理基础设施的重要组成部分。其核心思想是以资源管理为目标，将对资源的访问控制权统一交由资源的所有者来进行访问控制管理。
漫游证书是由第三方软件提供，只需在系统中正确地配置，该软件（或者插件）就可以允许用户访问自己的公/私钥对。
将PKI技术直接应用于无线通信领域存在两个问题：无线终端的资源有限，通信模式不同。在证书编码方面，WPKI证书降低了存储量，实现机制有两种：一种是重新定义证书格式，减少X.509证书尺寸；另一种是采用ECC算法减少证书的尺寸。
虚拟专用网（VPN）通常是指在公共网络中，利用隧道技术，建立一个临时的、安全的网络。VPN由“虚拟”（virtual）、“专用或私有”（private）以及“网络”（network）组成。
隧道技术通过对数据进行封装，在公共网络上建立一条数据通道，让数据包通过这条隧道传输。三种隧道协议：第二层隧道协议、第三层隧道协议和第四层隧道协议。第二层隧道协议在数据链路层，原理是先把各种网络协议封装到PPP包中，再把整个数据包装入隧道协议中，这种经过两层封装的数据包由第二层协议进行传输。第三层隧道协议的原理是在网络层把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。第四层隧道协议在传输层进行数据封装。
在VPN实现中，大量通信流量的加密使用对称加密算法，而在管理和分发对称加密的密钥上采用非对称加密技术。
除传统的身份认证协议外，使用PKI体系的身份认证的有IPSec、SSL等协议，在这些协议中，通信双方通过交换、验证数字证书来确认彼此的身份。
安全关联（SA）是IPSec协议的基础。AH和ESP协议都使用SA来保护通信。安全协议使用一个三元组唯一地标识SA，该三元组包含安全参数索引（SPI）、IP目的地址和安全协议号（AH或ESP）。
Internet密钥交换协议是IPSec协议组=族的组成部分之一，用来实现安全协议的安全参数协商，以确保VPN与远端网络或者宿主主机进行交流时的安全。IKE协商的安全参数包括加密及鉴别算法、加密及鉴别密钥、通信的保护模式、密钥的生存期等。IKE是一种混合型协议，由RFC2409定义，其中包含3个不同协议的有关部分：Internet安全关联和密钥管理协议（ISAKMP）、Oakley和安全密钥交换机制（SKEME）。1）ISAKMP是一个建立和管理SA的总体框架。2）Oakley协议是密钥的生成协议，对密钥生成提供机密性保护，并为协商对方提供身份保护的密钥生成方案。3）SKEME协议是一种匿名、防抵赖的密钥生成方案。
远程访问VPN适用于企业内部人员流动频繁或远程办公环境，出差或在家办公的员工使用Internet服务提供商（ISP）提供的服务就可以和企业的VPN网关建立起私有的隧道连接。
企业内部异地分支机构的互联，可以采用内联网VPN，它能在两个异地网络的网关之间建立一个加密的VPN隧道，两端的内部网络使用该VPN隧道，像使用本地网络一样通信。
将客户、供应商、合作伙伴或利益群体连接到企业内部网。它通常使用网关对网关的VPN，在不同企业的内部网络之间建立安全连接，需要配置不同协议和设备。
它提供了一种在多应用环境中的权限管理和访问控制机制，将权限管理和访问控制从具体应用系统中分离出来，使得访问控制机制和应用系统之间能灵活且方便地结合。
PMI使用AC表示权限信息，对权限生命周期的管理是通过管理证书的生命周期实现的。
证书库用于发布PMI用户的AC以及AC撤销列表（ACRL），以供查询。PMI和PKI一起建设时，也可以直接使用PKI的LDAP作为PMI的AC/ACRL库。