Mutual Transport Layer Security, ofwel mTLS, is een proces dat een TLS-verbinding tot stand brengt die door beide partijen versleuteld blijft met behulp van X.509 digitale certificaten voor wederzijdse authenticatie.
MTLS helpt bovendien bij het beperken van de risico's die gepaard gaan met het migreren van services naar cloudinstanties en voorkomt dat kwaadwillende derden toegang krijgen tot de services.
Wat is TLS?
Transport Layer Security (TLS) is een cryptografisch protocol dat is ontworpen om de communicatie over een computernetwerk te beveiligen. Webdiensten gebruiken dit protocol om alle communicatie tussen servers en webbrowsers te beveiligen. Er zijn diverse toepassingen van dit protocol, zoals internetbrowsen, e-mail, instant messaging en Voice over IP (VoIP).
Hoe werkt TLS?
TLS is de manier waarop webbrowsers veilige verbindingen met webservers creëren. De webbrowser kan de webserver vertrouwen dankzij het vertrouwen van een derde partij (de certificeringsinstantie). Maar om dit vertrouwen te laten werken, moet de webbrowser al kennis hebben van deze certificeringsinstantie. Dit is ook de reden waarom het apparaat en de webbrowser van een gebruiker vooraf geïnstalleerde certificaten bevatten voor veel openbare certificeringsinstanties. Deze vooraf geïnstalleerde certificeringsinstanties vormen de verbinding of het anker van vertrouwen tussen webbrowsers en websites die een gebruiker bezoekt of wil bezoeken.
De volgende stappen zijn essentieel voor een webbrowser om het certificaat dat een webserver verstrekt succesvol te vertrouwen:
- Het openbare certificaat van de CA moet aanwezig zijn in het besturingssysteem of de webbrowser. Het vormt zo de basis waarop alle vertrouwensrelaties worden gebaseerd.
- De webbrowser moet het domeineigendom van de site voorzien van een aangevraagd certificaat. Na verificatie van het recht geeft de CA een nieuw certificaat uit en installeert dit in de webbrowser, nadat het digitaal is ondertekend met de bijbehorende privésleutel.
- Wanneer de webbrowser de website bezoekt en een TLS-verbinding start, stuurt de webserver zijn certificaat naar de webbrowser.
- De webbrowser gebruikt nu het openbare certificaat van de CA om de handtekening van het ontvangen certificaat te controleren. Zodra de verificatie succesvol is, weet de webbrowser dat hij verbonden is met een webserver met bewezen domeineigendom.
Wat is wederzijdse TLS-authenticatie?
Wederzijdse of tweezijdige authenticatie is een beveiligingsproces waarbij entiteiten elkaar authenticeren voordat er daadwerkelijke communicatie plaatsvindt. Bij wederzijdse authenticatie kan een verbinding alleen tot stand komen als zowel de client als de server elkaar vertrouwen en elkaars referenties verifiëren. De client en de server moeten digitale certificaten verstrekken om hun identiteit te bewijzen. Deze certificaatuitwisseling vindt plaats via het TLS-protocol om ervoor te zorgen dat clients communiceren met legitieme servers en dat servers alleen reageren op clients die toegang proberen te krijgen voor legitieme doeleinden.
Is mTLS een nieuw protocol?
Wederzijdse authenticatie maakt deel uit van de TLS-standaard en maakt al deel uit van deze specificatie sinds deze bekend stond als Secure Socket Layer (SSL). Een webserver die TLS gebruikt om zijn verkeer te beveiligen, kan wederzijdse authenticatie ondersteunen. De server moet de client om zijn certificaat vragen om wederzijdse authenticatie te implementeren, maar de meeste webbrowsers zijn hier standaard niet op geconfigureerd.
Waar is mTLS nuttig?
- Wederzijdse authenticatie kan worden gebruikt wanneer de server de authenticiteit en geldigheid van een specifieke gebruiker of apparaat moet garanderen. In praktische toepassingen kan mTLS worden gebruikt voor het volgende:
- Gebruikers die worden geauthenticeerd in applicaties
- Apparaten op een bedrijfs- of privénetwerk
- Content Delivery Networks (CDN's) of cloudbeveiligingsdiensten op back-endservers
- Internet of Things (IoT) sensor
- Business-to-business (B2B) gegevensuitwisselingen waarbij verschillende API's worden gebruikt.
- Microservicearchitecturen waarbij elke microservice ervoor moet zorgen dat alle componenten communiceren en geldig zijn.
Hoe bevordert wederzijdse authenticatie de beveiliging van applicaties?
Veel bedrijven migreren naar de cloud om te profiteren van de voordelen van multi-cloudplatformen. Deze migratie brengt echter beveiligingsproblemen met zich mee met betrekking tot verschillende cloudomgevingen. Het is daarom essentieel om ervoor te zorgen dat alleen geautoriseerde applicaties of processen toegang hebben tot deze omgevingen. Dit probleem kan worden opgelost door gebruik te maken van wederzijdse TLS-authenticatie. Wederzijdse authenticatie wordt gebruikt in combinatie met een wachtwoord-/identiteitsprovider of op zichzelf om het aantal certificaten te beperken dat door een bepaalde certificeringsinstantie wordt geaccepteerd. Een client authenticeert de identiteit van een website door de inloggegevens van de server en de client te valideren. Voor cloudomgevingen is HTTP het transportprotocol voor de API , waardoor wederzijdse authenticatie voor componenten mogelijk is.
Voordelen van mTLS
mTLS is wijdverbreid, aangezien SSL verouderd is geraakt. Verschillende bedrijven, zoals Skype, gebruiken mTLS om hun bedrijfsservers te beveiligen, en Cloudflare is een belangrijke aanbieder van PKI voor mTLS. Dit is vooral belangrijk in gevallen waarin een gebruiker verkeer in beide richtingen wil beveiligen door het te versleutelen. Vaak loggen apparaten automatisch in op een netwerk en hebben ze toegang tot resources. Het gebruik van TLS zorgt voor een goede versleuteling en zonder authenticatie kan geen enkele machine toegang krijgen tot resources, waardoor " man-in-the-middle"-aanvallen of andere cyberaanvallen worden voorkomen. Dit betekent dat er een apparaat- of serveridentiteit moet worden verstrekt die cryptografisch kan worden geverifieerd, of dat de resources van gebruikers flexibeler worden gemaakt en tegelijkertijd beveiligd blijven.
Conclusie
Geen enkele technologie is perfect, daarom wordt TLS regelmatig bijgewerkt en moeten gebruikers altijd kiezen voor vertrouwde certificeringsinstanties (CA's) . Gebruikersnamen en wachtwoorden zijn een goede keuze, maar ze zijn onbetrouwbaar en kwetsbaar voor misbruik. Om een ​​veiligere methode te gebruiken, kunt u het beste beginnen met cryptografische ondertekening om authenticatie van apparaten te garanderen.
