我可以用旧的（私人）密钥签署新的（公共）密钥，以便安全地从一个密钥转移到另一个密钥。但据我所知，没有什么可以阻止任何人将旧密钥作为官方签署一个不同的新密钥，甚至在我给了旧密钥之后很久。
如果我撤销旧的私钥，没有人可以制作伪造的签名，这很好。但是不撤销密钥意味着它的签名会失效吗？ （以及它制作的每一个签名？）
因此，那个认识我为“爱丽丝”的人能够说出我是一样的，即使我是“鲍勃”。但后来他们看到了“爱丽丝”的撤销，在这种情况下他们必须把所有关于我的知识抛弃，无论是爱丽丝还是鲍勃？
处理此问题的常用方法是使用不同的密钥来签名密钥和签署“有用”数据。
数据签名密钥存在于自动调用的在线服务器上，因此存在滥用的风险。此键定期轮换。原则上，它不需要旋转：只要发生不好的事情就撤销它。但实际上撤销很难：通常很难确保依赖签名的每一方都能及时看到撤销消息。到期确保即使一方没有看到撤销消息，它也不会长时间接受受损的签名。
密钥签名密钥位于具有严格访问控制的脱机服务器上，并且由于它受到更好的保护，因此受到危害的风险非常低。
具有标记其他键的键的系统称为public key infrastructure。许多系统具有多级签名密钥。最着名的PKI生态系统是用于HTTPS的服务器，其中服务器具有由中间certificate签名的certificate authority，后者又具有由另一个CA签署的证书，直到您到达根CA.中间CA在线，但运行专门的系统，除了签署证书之外什么都不做。根CA证书的密钥分配给多个员工，这些员工每隔几年就会聚集到一个没有Internet连接的保险库中，以生成新的中间密钥。
使用OpenSSL运行您自己的CA并非易事，但它是可行的，您可以在Web上找到许多教程。