Un certificato intermedio viene rilasciato da un’autorità di certificazione (CA) radice o da un altro certificato intermedio attendibile e può firmare certificati aggiuntivi. Collega tali certificati a una radice attendibile, formando una catena che i browser e gli altri client possono convalidare. Questa struttura consente a una CA radice di delegare l’emissione di certificati senza usare la propria chiave radice per ogni operazione di firma.
Se la chiave privata di una CA intermedia viene compromessa o generata in modo inadeguato, un aggressore potrebbe essere in grado di emettere certificati che appaiono validi lungo percorsi attendibili. I difensori reagiscono revocando i certificati interessati e distribuendo aggiornamenti che ne rimuovono l’attendibilità tramite i browser e gli archivi di certificati attendibili delle piattaforme. La firma incrociata può creare percorsi alternativi, quindi chi interviene deve considerare ogni percorso lungo la catena. La compromissione di un certificato intermedio comporta un ampio rischio potenziale, ma non dimostra di per sé che siano stati emessi o utilizzati certificati contraffatti.