Что такое mTLS

• Server config: ssl_verify_client on; + ssl_client_certificate ca.pem;
• Client config: curl --cert client.pem --key client.key
• Certificate chain: client cert должен быть подписан trusted CA
• TLS 1.3: использует CertificateRequest в handshake, не renegotiation
• Revocation: OCSP или CRL для отозванных client certs

nginx:
  ssl_verify_client on;
  ssl_client_certificate /etc/ssl/ca.pem;
  # $ssl_client_s_dn содержит subject client cert

• TLS 1.3
• Zero Trust
• OAuth 2.0

mTLS (mutual TLS) — это расширение протокола TLS, обеспечивающее взаимную аутентификацию между клиентом и сервером. В отличие от стандартного TLS, где только сервер подтверждает свою личность, mTLS требует, чтобы обе стороны обменивались сертификатами, тем самым повышая уровень безопасности. Это особенно важно в распределенных системах, где необходимо удостовериться не только в подлинности сервера, но и клиента.

Настройка mTLS требует выполнения нескольких шагов, включая создание сертификатов, настройку серверной и клиентской конфигурации. Рассмотрим пример настройки mTLS на сервере Nginx и клиенте cURL.

Шаг 1: Создание сертификатов

Для начала необходимо создать корневой сертификат и подписать им сертификаты для сервера и клиента. Используйте следующие команды:

openssl genrsa -out rootCA.key 2048
openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.pem
openssl genrsa -out server.key 2048
openssl req -new -key server.key -out server.csr
openssl x509 -req -in server.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out server.crt -days 500

Шаг 2: Настройка Nginx

Теперь отредактируйте конфигурацию Nginx для использования mTLS:

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /path/to/server.crt;
    ssl_certificate_key /path/to/server.key;
    ssl_client_certificate /path/to/rootCA.pem;
    ssl_verify_client on;
}

Шаг 3: Настройка клиента

Теперь, когда сервер настроен, настроим клиента. Используйте следующую команду cURL для тестирования:

curl -v -s --key /path/to/client.key --cert /path/to/client.crt --cacert /path/to/rootCA.pem https://example.com

Если все настроено правильно, вы получите ответ от сервера, подтверждающий успешную аутентификацию.

mTLS обеспечивает высокий уровень безопасности благодаря взаимной аутентификации, что делает его идеальным для защищенных API, IoT-устройств и микросервисов. Однако, есть и недостатки, которые стоит учитывать.

Преимущества mTLS

• Высокий уровень безопасности: Защита от атак типа "человек посередине" (MITM).
• Контроль доступа: Только проверенные клиенты могут получить доступ к серверу.
• Упрощенное управление идентификацией: Централизованное управление сертификатами позволяет легко обновлять и отзывать доступ.

Недостатки mTLS

• Сложность настройки: Необходимость управления сертификатами может усложнить процесс внедрения.
• Производительность: Дополнительные накладные расходы на аутентификацию могут повлиять на производительность.
• Управление сертификатами: Требуется регулярное обновление и отзыв сертификатов, что может быть трудоемким процессом.

В итоге, выбор mTLS должен основываться на конкретных требованиях вашего проекта и уровне необходимой безопасности.