相互認証 とは？

普通のログインはユーザーがサーバーに「自分はこの人です」と証明するだけの片方向認証だよね。相互認証では、さらにサーバー側も「自分は本物のサーバーです」とユーザーに証明するんだよ。合言葉を片方だけじゃなくて、お互いに確認し合うイメージだね

実はブラウザでHTTPSサイトにアクセスするとき、裏側でサーバー証明書の検証が行われているんだよ。鍵マークが表示されるのがその証拠だね。ただしこれはサーバー認証だけで、相互認証ではクライアント側の証明もセットで行うんだ

マイクロサービス間の通信、銀行のオンラインバンキング、IoTデバイスとクラウドの接続なんかが典型例だよ。特にゼロトラストの考え方では「ネットワーク内部でも信用しない」が原則だから、あらゆる通信に相互認証を求めるんだ

代表的なのはmTLS（証明書ベース）だけど、Kerberosのようにチケットベースで相互認証する方式もあるよ。Active Directory環境ではKerberosが広く使われていて、クライアントとサーバーがKDCという認証サーバーを介してお互いを確認し合うんだ

確かにハンドシェイクが増える分オーバーヘッドはあるけど、TLS 1.3では初回接続のハンドシェイクが1-RTTに短縮されて、再接続時は0-RTTも可能だから、実用上はほとんど気にならないレベルだよ。セッション再開の仕組みをうまく使えば、パフォーマンスと安全性を両立できるんだ