相互認証【mutual authentication】双方向認証 / two-way authentication

概要

相互認証（mutual authentication）とは、認証方式の一つで、双方の当事者が互いに相手の真正性を確かめ合う方式。サーバとクライアント、サービス提供者と利用者が、相互に相手が正しい相手かどうか検証する。

情報システムにおける一般的な認証プロセスでは、システムが操作を開始しようとする利用者を登録利用者本人であるか確かめるなど、認証する側とされる側が固定されており、これを「一方向認証」（片方向認証/単方向認証）という。

一方、相互認証ではクライアントが接続先のサーバが本物かどうか確かめ、サーバはクライアントが登録済みの端末に相違ないか確かめるなど、相互に相手の真正性を確認し合う。クライアントが正しいサーバに接続できているか確証が持てない状況で用いられる。

例えば、インターネット上では著名なネットサービスにそっくりな偽のWebサイトを作り、利用者のIDとパスワードを入力させて騙し取る「フィッシング」という攻撃手法がある。Wi-Fi（無線LAN）でも、正規のアクセスポイント（AP）になりしました偽のAPに利用者を誘導する「Evil Twin」という攻撃手法がある。

こうした攻撃は、利用者やクライアントが偽の接続先に繋いでしまい、そのことに気づかず本物であると信じて通信することにより成立する。このような場合に、通常の認証プロセスの前にサーバ側からデジタル証明書を提出させるなどして、接続先がなりすましの偽物ではないことをクライアントが確認する必要がある。

(2024.9.11更新)