Karşılıklı TLS (mTLS)

Karşılıklı TLS, el sıkışmanın iki yönde birden yürütüldüğü sıradan TLS'tir: sunucu istemcinin doğruladığı bir sertifika sunar, istemci de sunucunun doğruladığı bir sertifika sunar. Standart HTTPS yalnızca sunucuyu kimliklendirir. Doğru makineyle konuştuğunuzu kanıtlar ama konuşanın kim olduğu hakkında hiçbir şey söylemez; karşılıklı TLS bu ikinci boşluğu, herhangi bir uygulama kodu çalışmadan önce, taşıma katmanında kapatır. Bir SaaS sağlayıcısı için asıl çekici yanı, taşınan bir sırrı hiç yolculuk etmeyen bir anahtarla değiştirmesidir. Bir API anahtarı ya da belirteç her istekte gönderilir; dolayısıyla bir günlüğü, bir vekil sunucu arabelleğini veya yanlış yapılandırılmış bir hata raporunu okuyan herkes tarafından yeniden oynatılabilir. İstemci sertifikasının özel anahtarı ise istemcide kalır; el sıkışma, anahtarı iletmeden sahipliği kanıtlar. Düzenlemeye tabi ve kurumsal alıcıların makineden makineye uç noktalarda bunu istemesinin nedeni budur; ağın kendisine güvenilir varsaymayı bırakmış ağlarda servisler arası trafikte görünmesinin nedeni de aynıdır. Bedeli sertifika yaşam döngüsüdür. Birinin sertifikaları üretmesi, dağıtması, süresi dolmadan döndürmesi ve bir istemci hizmetten çıkarıldığında iptal etmesi gerekir; süresi dolmuş bir istemci sertifikası kapalı konumda başarısız olur ve entegrasyonu kimsenin planlamadığı bir anda düşürür. Süre takibi burada isteğe bağlı bir ek değildir, düzeneğin işletme yükünün kendisidir. İki sınırı açıkça söylemek gerekir. Karşılıklı TLS bir istemciyi kimliklendirir, yetkilendirmez: sertifika kimliğinin yine de bir kiracıya ve bir izin kümesine eşlenmesi gerekir, yoksa geçerli her sertifika her yere erişir. Ve TLS'i bir yük dengeleyicide ya da kenar ağda sonlandırmak, sertifika kimliğinin uygulamaya bilinçli olarak, genellikle bir başlıkla, taşınmasını gerektirir; bu başlık da taklit edilemesin diye güvenilmeyen gelen isteklerden ayıklanmalıdır.