mTLS (双向 TLS)

概述

mTLS(Mutual TLS,双向 TLS)是标准 TLS 的增强用法:普通 TLS 只有客户端验证服务端证书,而 mTLS 在握手过程中要求双方都出示并验证 X.509 证书,从而在建立加密通道的同时完成双向身份认证。

工作方式

握手时服务端发送 CertificateRequest,客户端随后提交自己的证书并用私钥签名握手消息以证明持有权,双方各自校验对方证书链是否由信任的 CA 签发、是否过期或被吊销。认证通过后,连接同时具备机密性、完整性与双向身份保证。

应用场景

mTLS 是零信任架构在传输层的落地手段:服务网格(如 Istio 配合 SPIFFE/SPIRE 身份标准)默认对微服务之间的东西向流量启用 mTLS,证书由控制面自动签发与轮换;Kubernetes 组件之间、etcd 集群内部、开放银行 API 也广泛使用。工程挑战主要在证书生命周期管理,通常依赖 cert-manager、Vault 或网格控制面自动化完成。