什么是相互 TLS (mTLS)?

相互 TLS 簡稱 mTLS，是一種相互身份驗證的方法。mTLS 通過驗證他們都擁有正確的私人密鑰來確保網絡連接兩端的各方都是他們聲稱的身份。他們各自的 TLS 證書中的信息提供了額外的驗證。

mTLS 通常被用于零信任安全框架*，以驗證組織內的用戶、設備和服務器。它也可以幫助保持 API 的安全。

*零信任意味著默認情況下不信任任何用戶、設備或網絡流量，這種方法有助于消除許多安全漏洞。

mTLS 如何運作?

通常在 TLS 中，服務器有一個 TLS 證書和一個公鑰/私鑰對，而客戶端沒有。典型的 TLS 流程是這樣運作的：

• 客戶端連接到服務器
• 服務器出示其 TLS 證書
• 客戶端驗證服務器的證書
• 客戶端和服務器通過加密的 TLS 連接交換信息

然而，在 mTLS 中，客戶端和服務器都有一個證書，并且雙方都使用它們的公鑰/私鑰對進行身份驗證。與常規 TLS 相比，mTLS 中有一些額外步驟來驗證雙方（額外的步驟加粗顯示）。

• 客戶端連接到服務器
• 服務器出示其 TLS 證書
• 客戶端驗證服務器的證書
• 客戶端出示其 TLS 證書
• 服務器驗證客戶端的證書
• 服務器授予訪問權限
• 客戶端和服務器通過加密的 TLS 連接交換信息

mTLS 中的證書頒發機構

實施 mTLS 的組織充當其自己的證書頒發機構。這與標準 TLS 相反，標準 TLS 的證書頒發機構是一個外部組織，負責檢查證書所有者是否合法擁有關聯域。

mTLS 需要“根”TLS 證書；這使組織能夠成為他們自己的證書頒發機構。授權客戶端和服務器使用的證書必須與此根證書相對應。根證書是自簽名的，這意味著組織自己創建它。（這種方法不適用于公共互聯網上的單向 TLS，因為必須由外部證書頒發機構頒發這些證書。）

為什么使用 mTLS?

mTLS 有助于確保客戶端和服務器之間的流量是安全和可信的。這為登錄到組織網絡或應用程序的用戶提供了一個額外的安全層。它還可以驗證與不遵循登錄過程的客戶端設備的連接，如物聯網 (IoT) 設備。

mTLS 可以防止各種類型的攻擊，包括：

• 在途攻擊：在途攻擊者把自己放在客戶端和服務器之間，攔截或修改兩者之間的通信。當使用 mTLS 時，在途攻擊者不能對客戶端或服務器進行身份驗證，使這種攻擊幾乎不可能進行。
• 欺騙攻擊：攻擊者可以試圖在用戶面前“偽裝”（模仿）Web 服務器，或在 Web 服務器面前偽裝用戶。當雙方都必須用 TLS 證書進行身份驗證時，欺騙攻擊就會困難得多。
• 憑證填充：攻擊者使用從數據泄露中泄露的憑證集，試圖以合法用戶身份登錄。如果沒有合法頒發的 TLS 證書，憑證填充對使用 mTLS 的組織的攻擊就無法成功。
• 暴力攻擊：暴力攻擊通常由機器人執行，是指攻擊者使用快速試錯法來猜測用戶的密碼。mTLS 確保一個密碼不足以獲得對組織網絡的訪問權。（速率限制是處理這種類型的機器人攻擊的另一種方法。）
• 網絡釣魚攻擊：網絡釣魚攻擊的目的通常是為了竊取用戶的憑證，然后利用這些憑證入侵網絡或應用程序。即使用戶上當受騙，攻擊者仍然需要 TLS 證書和相應的私鑰才能使用這些憑證。
• 惡意 API 請求：當用于 API 安全時，mTLS 可確保 API 請求只來自合法的、經過身份驗證的用戶。這可以阻止攻擊者發送惡意的 API 請求來利用漏洞或破壞 API 的預期運作方式。

網站已經使用 TLS，那為什么沒有在整個互聯網上使用 mTLS?

對于日常用途，單向身份驗證提供了足夠的保護。公共互聯網上 TLS 的目標是：1) 確保人們不會訪問欺騙性網站，2) 確保私有數據在通過包含互聯網的各種網絡時安全且加密，以及 3) 確保數據在傳輸過程中沒有改變。客戶端僅驗證服務器身份的單向 TLS 足以實現這些目標。

此外，將 TLS 證書分發到所有最終用戶設備將非常困難。生成、管理和驗證為此所需的數十億證書幾乎是不可能的任務。

但在較小的規模上，mTLS 對單個組織非常有用且非常實用，尤其是當這些組織采用零信任方法來確保網絡安全時。由于零信任方法默認不信任任何用戶、設備或請求，因此組織必須能夠在每次嘗試訪問網絡中的任何時間對每個用戶、設備和請求進行身份驗證。mTLS 通過驗證用戶和驗證設備來幫助實現這一點。

什么是 TLS?

傳輸層安全 (TLS) 是互聯網上廣泛使用的一種加密協議。TLS 的前身是 SSL，在客戶端-服務器連接中對服務器進行身份驗證，并對客戶和服務器之間的通信進行加密，以便外部各方無法窺視通信。

關于 TLS 的運作原理，需要了解三件重要的事情：

2. TLS 證書

TLS 證書是一個數據文件，其中包含用于驗證服務器或設備身份的重要信息，包括公鑰、證書頒發者聲明（TLS 證書由證書頒發機構頒發）以及證書的到期日期。

3. TLS 握手

TLS 握手是驗證 TLS 證書和服務器擁有私鑰的過程。TLS 握手還會確定握手結束后如何進行加密。

1. 公鑰和私鑰

TLS 使用一種叫做公鑰加密的技術運作，它依賴于一對密鑰，即公鑰和私鑰。任何用公鑰加密的內容都只能用私鑰解密。

因此，一個服務器如果解密了用公鑰加密的信息，就證明它擁有私鑰。任何人都可以通過查看域或服務器的 TLS 證書來查看公鑰。