Habilitar TLS en una Conexión

Overview

En esta guía, puedes aprender cómo conectarte a instancias de MongoDB con el TLS/SSL protocolo de seguridad utilizando la compatibilidad subyacente de TLS/SSL en el framework .NET. Para configurar su conexión para usar TLS/SSL, active la configuración de TLS/SSL en: cadena de conexión o MongoClientSettings.

Habilitar TLS

Por defecto, TLS está desactivado al conectarse a instancias de MongoDB. Puedes habilitar TLS para la conexión a tu instancia de MongoDB de dos maneras diferentes: usando una propiedad en un MongoClientSettings objeto o a través de un parámetro en tu cadena de conexión.

var settings = new MongoClientSettings { UseTls = true };
var client = new MongoClient(settings);

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true");

Configurar un Certificado de Cliente

Puedes configurar tu certificado X.509 utilizando MongoClientSettings. El siguiente código de muestra crea un nuevo objeto de certificado X.509 usando el archivo de certificado llamado client.p12, que está protegido por la contraseña mySuperSecretPassword. El código luego agrega este certificado al arreglo SslSettings.ClientCertificates en MongoClientSettings.

var cert = new X509Certificate2("client.p12", "mySuperSecretPassword");
var settings = new MongoClientSettings
{
   SslSettings = new SslSettings
   {
      ClientCertificates = new[] { cert }
   },
   UseTls = true
};

Permitir TLS no seguro

Cuando TLS está habilitado, el controlador .NET/C# verifica automáticamente el certificado que presenta el servidor. Al probar el código, puede deshabilitar la verificación del certificado. Esto se conoce como TLS inseguro.

Al usar TLS inseguros, el único requisito es que el servidor presente un certificado X.509. El controlador aceptará un certificado, incluso si se cumple alguna de las siguientes condiciones:

• El nombre de host del servidor y el nombre del sujeto (o nombre alternativo del sujeto) en el certificado no coinciden.

• El certificado está caducado o todavía no es válido.

• El certificado no tiene un certificado raíz confiable en la cadena.

• El propósito del certificado no es válido para la identificación del servidor.

Puede permitir TLS no seguro de dos maneras diferentes: usando una propiedad en un objeto de MongoClientSettings o mediante un parámetro en su cadena de conexión.

var settings = new MongoClientSettings
{
   UseTls = true,
   AllowInsecureTls = true
};
var client = new MongoClient(settings);

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true&tlsInsecure=true");

Comprobar revocación de certificado

Cuando un certificado X.509 deja de ser confiable--por ejemplo, si su llave privada ha sido comprometida--la autoridad de certificación revocará el certificado.

Por defecto, el controlador .NET/C# no verifica si el certificado de un servidor ha sido revocado antes de conectarse. Puedes habilitar la verificación de revocación usando MongoClientSettings o la cadena de conexión.

var settings = new MongoClientSettings
{
   SslSettings = new SslSettings
   {
      CheckCertificateRevocation = true
   },
   UseTls = true
};

var mongoClient = new MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>?tls=true&tlsDisableCertificateRevocationCheck=false");

Documentación de la API

Para obtener más información sobre cualquiera de las opciones de conexión analizadas en esta guía, consulte la siguiente documentación de la API:

• MongoClientSettings