セキュリティモード "TransportWithMessageCredential"とメッセージclientCredentialType "Certificate"を使用してWCF Webサービスを設定するためのチュートリアルをいくつか続けました。私は実際にそれを設定することに何の問題もなかったが、チュートリアルのどれも本当に説明していない何かが実際にどのように動作するのか？サーバーは、クライアントが実際に正しいクライアントであることをどのように知っていますか？誰かが証明書にアクセスすると、その証明書を使っていくつかの悪意のあるクライアントアプリケーションでサーバーにアクセスできますか？証明書による認証
秘密鍵を持つ証明書は、資格情報の形式です。ユーザ名とパスワードを安全に保つ必要があるのと同じ方法で安全に保つ必要があります。それが意図されていないと誰かが取得した場合、それは損なわれて取り消され、新しい証明書が発行されます。 Windows（および他のプラットフォーム）は、証明書を安全に保管できるように、クライアント上で比較的安全に保管することができます。それでも、証明書が安全な状態に保たれていないと、サーバーはクライアントが意図されたものであることを確認できません。
多くの場合、Windowsでは証明書がユーザーストアに保存されています。つまり、そのセキュリティ原則で実行されているすべてのアプリケーションが証明書にアクセスして使用できます。つまり、アプリケーションが独自のセキュリティ原則（特定のIDを持つWindowsサービス）で実行されない限り、サーバーがクライアントアプリケーションを識別することはできません。ユーザーが実行するすべてのアプリケーションは、証明書にアクセスしてサービスで認証するために使用できます。