A, CA B et CA C,
par exemple). La figure B montre une structure de certification croisée,
dans laquelle l’utilisateur n’a besoin d’une relation d’approbation
explicite qu’avec le CA d’une société (CA A, par exemple). Avec une confiance explicite entre l’utilisateur et CA A, l’utilisateur peut établir
des relations d’approbation implicites avec les CA dans les sociétés B
et C, par l’intermédiaire des relations d’approbation par certification
croisée existantes entre CA A et CA B et entre CA A et CA C.

Du point de vue de l’utilisateur, la certification croisée a l’inconvénient
de compliquer la validation des chemins d’approbation de certificats.
Le logiciel de validation de certificat doit encore considérer les
relations d’approbation hiérarchiques de chaque société ainsi que les
relations d’approbation par certification croisée. Par conséquent, la PKI
Windows .NET Server a besoin d’une logique logicielle côté client spéciale
pour valider la certification. Cette logique logicielle spéciale est
présente dans Windows XP. (Microsoft pourrait fournir certains outils
spéciaux ou extensions logicielles pour intégrer cette logique dans les
versions Windows antérieures.)