mTLS（相互 TLS）

どんな仕組みか

mTLS（相互 TLS）は、通信する双方が証明書を提示し合って互いに認証する仕組みです。通常の TLS（HTTPS）ではサーバーだけが証明書を出しますが、mTLS ではクライアントも証明書を提示します。

これにより「サーバーが本物か」だけでなく「クライアントが本物か」も確かめられ、双方向で相手を信頼できる強固な接続になります。

横にスクロール

どう動くのか

TLS のハンドシェイクの中で、サーバー証明書の検証に加えてクライアント証明書の検証が行われます。

• サーバーは自分の証明書を提示する（通常の TLS と同じ）
• サーバーが CertificateRequest でクライアントにも証明書を要求する
• クライアントが証明書を提示し、対応する秘密鍵で署名（所有証明）する
• サーバーは、その証明書が信頼できる CA で署名され、失効していないかを検証する

双方の証明書が正当だと確認できて初めて、暗号化された通信が確立します。秘密鍵は端末外に出ないため、証明書の提示は「鍵の所有」の証明になり、パスワードのような共有秘密より盗まれにくいのが本質的な強みです。

他の方式との違い

トークンやパスワードによる認証が「アプリケーション層で誰かを確かめる」のに対し、mTLS は接続そのものの層（トランスポート層）で相手を認証します。

人のログインよりも、機械間（サービス間）の通信を強く保護したい場面に向いています。

使いどころ・注意点

サービス間通信や、境界を信用せず常に検証するゼロトラスト環境で採用されます。サービスメッシュ（Istio 等）は、サイドカー間の通信を mTLS で自動的に暗号化・相互認証する代表例です。

総じて mTLS は、証明書と秘密鍵に基づいて接続時点で双方を強く認証する方式で、ゼロトラストやサービス間通信の保護に有効な一方、証明書ライフサイクルの自動化が実運用の鍵となります。