Clientauthenticatie

Clientauthenticatie is het proces waarbij een server de identiteit van een client verifieert voordat toegang wordt verleend tot beveiligde resources. In tegenstelling tot serverauthenticatie, richt het zich op de klant of entiteit die de verbinding initieert. Een veelgebruikte vorm is TLS-mutual authentication (mTLS): tijdens de TLS-handshake presenteert de client een digitaal certificaat, uitgegeven door een vertrouwde certificaatautoriteit. De server controleert de geldigheid van het certificaat, de certificaalketen en of het certificaat nog niet is ingetrokken. Bij goedkeuring wordt een beveiligde verbinding tot stand gebracht.

Naast certificaatgebaseerde methoden bestaan er ook andere vormen zoals gebruikersnaam en wachtwoord, API-sleutels en tokens (bijv. OAuth 2.0, client credentials). In veel omgevingen combineert men certificaatgebaseerde authenticatie met tokengebaseerde autorisatie. Voor hardwarematige authenticatie kan men FIDO2/WebAuthn inzetten.

Belangrijke implementatieaspecten zijn PKI, provisioning van clientcertificaten en lifecycle management, inclusief intrekking en vervanging. Servers moeten een truststore bijhouden en protocollen zoals OCSP of CRL gebruiken om ingetrokken certificaten te detecteren. Daarnaast speelt autorisatie een rol na succesvolle authenticatie: rollen, toegangsbeleid en least-privilege.

Voordelen zijn sterke zekerheid en automatische verificatie bij geautomatiseerde communicatie tussen systemen. Nadelen zijn de complexiteit van certificaatbeheer en operationele overhead. In sommige omgevingen kan mTLS verplicht zijn, zoals interne API's, VPN's of microservices, terwijl andere toepassingen tokengebaseerde methoden prefereren.