レンタルサーバで、クライアント認証を使い、特定端末しか利用できなくしたい

Question

現在、レンタルサーバーのXserverとMixHostで、
特定フォルダ配下にBASIC認証をかけて利用しています。

これを特定端末しか利用できないよう
クライアント認証に変更したいのですが、
セキュリティ知識が乏しく困っています。

利用しているどちらのサーバーでも、「SSH接続」による設定変更が可能で、
管理画面には「SSL/TLS」の作成・管理項目があるようです。
なおMixHostはcPanelで管理しています。

■質問したいこと
１）上記のようなレンタルサーバーで、
そもそもクライアント認証は可能なのでしょうか？
立派な認証局は不要で、（オレオレ認証局？）で十分です。
できれば、無料で実現できると助かります。

２）設定の手順を知りたいのですが、
初心者でもわかりやすく手順を記載されている
ブログなどを教えていただけないでしょうか？

※自分でも検索してみているのですが、
認証の原理の部分を解説しているサイトが多く
設定の方法がわかりません。

Answer 1

いわゆる「レンタルサーバ」で、自分が触れるのは.htaccess程度、という環境では、SSLクライアント認証の導入は不可能です。

というのも、導入しようとすればSSL自体の設定を弄る必要があるので、自分でサーバ設定を自由に書き換えられる環境でないといけないからです。

少なくとも、「自分の持ち込んだ証明書でSSLを設定できる」ぐらいの自由度がなければ不可能です。

そして、クライアント証明書を設定する手間を考慮すれば、「クライアント証明書を導入するようなサービス」は、企業の内輪向けのもの、あるいはクレジット決済関係など、「極めて強固なセキュリティが必要」かつ「特定のユーザーのみがアクセスするのが適切」という場合に限られます。一般的なWebサイトを立ち上げる場合には、ほぼ必要となることがないため、手引的なものも少ないかと思います。

Answer 2

２に関して。証明書でのクライアント認証を実現するには（独自であっても）CAの運用、証明書の発行から配布、クライアントのブラウザへのインストールという作業が発生します。ただよくわからない段階からこの証明書とCA周りをOpenSSLで始めるのは骨が折れるので、https://github.com/mathiasertl/django-caでCAを作ったり壊したり、証明書を発行したりしながら、一度トライ＆エラーを通して理解を深めることをおすすめします。

そうするとサーバー側へ何を設定しなければならないのかわかってきて１につながると思います。

ちなみに２のCAの運用についてはAWSのACMも良さげだったんですが、何かの理由（詳細は忘れました）で私は最終的にdjango-caに落ち着くことになりました。

ご参考までに。