Mac 与 iPhone 使用客户端证书访问 mTLS 网站

Mon, 26 Oct 2026 00:00:00 +0000

Mac と iPhone でクライアント証明書を使用して mTLS サイトにアクセスする

本稿では、macOS と iPhone でクライアント証明書を使用して内部ネットワークの mTLS サイトにアクセスする方法を記録する。内容には CanoKey PIV、step-ca、Nginx、および iOS システムへの証明書のインストールが含まれる。

1. 環境と認証フロー

現在の環境は以下のとおりである。

CA：既存の CX-Homelab-CA Root CA と CX-Homelab-CA Intermediate CA。
証明書の発行：step-ca。
Web サーバー：Nginx 1.25.0。
テストサイト：https://www.home.arpa。
Mac クライアント：CanoKey PIV 9A。
iPhone クライアント：PKCS#12 ファイルを介してクライアント証明書と秘密鍵をインポート。

mTLS と通常の HTTPS の違いは、サーバーがクライアント証明書を検証し、クライアントもサーバー証明書を検証する必要がある点である。クライアント証明書には対応する秘密鍵が含まれている必要があり、.crt ファイルだけをインストールしても、通常はクライアント認証を完了できない。

基本フロー如下：

クライアントが HTTPS サイトにアクセスする。
Nginx がクライアント証明書を要求する。
ブラウザーまたはシステムがクライアント ID を選択し、対応する秘密鍵を使用して TLS ハンドシェイクを完了する。
Nginx がクライアント証明書の有効性、証明書チェーン、用途を検証する。
検証に成功すると、サーバーは保護されたリソースへのアクセスを許可する。

需要注意すべき点として、クライアント証明書とサーバー CA の信頼は別々の問題である。クライアント ID をインストールしただけでは、デバイスがウェブサイトサーバー証明書の発行元であるプライベート CA を信頼できる状態になるわけではない。

2. Mac：CanoKey PIV 9A の使用

2.1 現在の構成

Mac では CanoKey の PIV 9A スロットにクライアント ID を保存している。macOS はスマートカード関連の仕組みを通じて証明書と秘密鍵を認識し、ブラウザーは TLS ハンドシェイク時にその ID を使用する。

macOS 与 iOS 使用客户端证书访问 mTLS 网站

Mon, 26 Oct 2026 00:00:00 +0000

macOS と iOS でクライアント証明書を使用して mTLS Websitesにアクセスする

本文では、macOS および iOS デバイスでクライアント証明書を設定し、双方向 TLS（mTLS）を有効にした HTTPS ウェブサイトにアクセスする方法を説明します。例では、プライベート CA、step-ca、Nginx、PKCS#12、および PIV スマートカードを使用します。以下のドメイン名、証明書名、ファイル名、IP アドレスはすべて例なので、実際の値に置き換えてください。

1. mTLS 認証フロー

通常の HTTPS では主にクライアントがサーバー証明書を検証しますが、mTLS ではさらにサーバーがクライアント証明書を検証します。

基本フロー：

クライアントが HTTPS サイトにアクセスする。
Nginx が TLS ハンドシェイク中にクライアント証明書を要求する。
ブラウザーまたはシステムがクライアント ID を選択し、対応する秘密鍵で署名する。
Nginx が構成に基づいてクライアント証明書、証明書チェーン、有効期限を検証する。
検証に成功すると接続は HTTP レイヤーに入り、サイト側のポリシーによってアクセスが許可されるかどうかが決定される。

クライアント ID とサーバー CA の信頼は、それぞれ独立した構成です。

クライアント ID：クライアント証明書およびそれに対応する秘密鍵。サーバーに対して自身を証明するために使用します。
サーバー CA の信頼：クライアントがウェブサイト用サーバー証明書の発行者を信頼する CA。HTTPS サーバーの同一性を検証するために使用します。

クライアント証明書をインストールしても、デバイスがプライベート CA を自動的に信頼するようになるわけではありません。

2. macOS：PIV ハードウェアキーの使用

クライアント秘密鍵が PIV 対応ハードウェアキーに保存されている場合は、秘密鍵をハードウェアデバイス内に保持し、秘密鍵ファイルのエクスポートを回避できます。ブラウザーがこの ID を使用できるかどうかは、macOS、スマートカードミドルウェア、鍵デバイス、およびブラウザーのサポート状況に依存します。

一般的な確認手順：

PIV ハードウェアキーを挿入する。
macOS がスマートカードとその証明書を認識できることを確認する。
ブラウザーを開いて mTLS サイトにアクセスする。
ブラウザーがクライアント証明書を要求する場合は、対応する ID を選択する。
指示に従って PIN を入力する、またはハードウェア上の操作を完了する。
ページの表示結果とサーバーログを照合し、認証に成功したか確認する。

次のコマンドでシステムの状態を確認できます。

IOS on CX's Blog