Configurar la Seguridad de la Capa de Transporte (TLS)

OpenSSL

El controlador C de MongoDB utiliza OpenSSL en plataformas Linux y Unix (excepto macOS). Las mejores prácticas de la industria y algunas normativas exigen el uso de TLS 1.1 o superior, lo que requiere al menos OpenSSL 1.0.1. Utilice el siguiente comando para comprobar su versión de OpenSSL:

openssl version

Asegúrese de que la versión de OpenSSL de su sistema sea reciente (al menos 1.0.1) o utilice el siguiente comando para instalar una versión reciente en una ruta que no sea del sistema y compilarla en ella:

cmake -DOPENSSL_ROOT_DIR=/absolute/path/to/openssl

Al compilarse con OpenSSL, el controlador intentará cargar el almacén de certificados predeterminado del sistema, según la configuración de la distribución. Esto se puede anular configurando la tlsCAFile opción URI o con los campos ca_file y ca_dir en mongoc_ssl_opt_t.

El Protocolo de Estado de Certificado en Línea (OCSP) es totalmente compatible con OpenSSL 1.0.1+. Sin embargo, cuando crl_file se establece un con mongoc_ssl_opt_t y el crl_file revoca el certificado del servidor, este se considera revocado, incluso si tiene una respuesta OCSP válida.

Compatibilidad nativa con TLS en Windows (canal seguro)

El controlador C de MongoDB admite la biblioteca TLS nativa de Windows (Secure Channel o SChannel) y su biblioteca de criptografía nativa (Cryptography API: Next Generation o CNG).

Al compilar con las bibliotecas nativas de Windows, la ca_dir opción de mongoc_ssl_opt_t no es compatible y genera un error si se utiliza. Los archivos PEM cifrados, configurados mediante la tlsCertificateKeyPassword opción URI, tampoco son compatibles y generan errores al intentar cargarlos.

La tlsCertificateKeyFile opción URI puede hacer referencia a un certificado codificado en formato PKCS#8 o PKCS#.1 A partir 2.1.0 de la versión del controlador C, este importa la clave privada como una clave persistente para admitir algoritmos de firma modernos. En versiones anteriores, el controlador importaba la clave como efímera. Para obtener más información sobre la administración de claves importadas, consulte Administración de claves importadas.

Cuando se establece tlsCAFile, el driver importa el archivo de la Autoridad Certificadora al almacén de certificados System Local Machine Root. Cuando no se configura tlsCAFile, el driver busca el archivo de la Autoridad Certificadora utilizando el almacén de certificados System Local Machine Root para confirmar el certificado proporcionado.

Cuando se establece crl_file con mongoc_ssl_opt_t, el driver importa la lista de revocación al almacén de certificados System Local Machine Root. Establecer tlsDisableOCSPEndpointCheck no tiene efecto.

El Protocolo de estado de certificado en línea (OCSP) es parcialmente compatible con las siguientes notas:

• Se ignora la extensión Must-Staple (ver RFC).7633

• La conexión continuará si se presenta un certificado Must-Staple sin una respuesta grapada y el respondedor OCSP no está disponible.

• La conexión no continuará si el cliente recibe una respuesta revocada de un respondedor OCSP.

• Cuando crl_file se establece un con mongoc_ssl_opt_t y el crl_file revoca el certificado del servidor, la respuesta OCSP tiene prioridad. Por ejemplo, si el servidor presenta un certificado con una respuesta OCSP válida, este se considera válido incluso si el lo crl_file marca como revocado.

$cert = "client.pem"
# Compute the SHA256 fingerprint:
$fingerprint = (openssl x509 -in $cert -noout -fingerprint -sha256) -replace 'SHA256 Fingerprint=', '' -replace ':', ''
if (Select-String -Path $cert -Pattern '-----BEGIN RSA PRIVATE KEY-----' -Quiet) {
    # Key name for PKCS#1 key:
    $key_name = "libmongoc-$fingerprint-pkcs1"
    $csp = "Microsoft Enhanced Cryptographic Provider v1.0"
} elseif (Select-String -Path $cert -Pattern '-----BEGIN PRIVATE KEY-----' -Quiet) {
    # Key name for PKCS#8 key:
    $key_name = "libmongoc-$fingerprint-pkcs8"
    $csp = "Microsoft Software Key Storage Provider"
} else {
    Write-Output "Unexpected PEM format for $cert"
}

certutil -user -csp $csp -key $key_name

certutil -user -csp $csp -key $key_name

Compatibilidad nativa con TLS en macOS/Darwin (transporte seguro)

El controlador MongoDB C admite tanto la biblioteca TLS nativa de Darwin como Common Crypto, su biblioteca de criptografía nativa.

Al compilar con Secure Transport, no se ca_dir crl_file admiten las opciones y de mongoc_ssl_opt_t. Si se utiliza alguna de ellas, se genera un error.

Si se configura tlsCAFile, el controlador solo permitirá certificados de servidor emitidos por la(s) autoridad(es) proporcionada(s). Si no se configura tlsCAFile, el controlador utilizará las autoridades de certificación de las cadenas de claves desbloqueadas.

La configuración de tlsDisableOCSPEndpointCheck y tlsDisableCertificateRevocationCheck no tiene efecto al compilar contra transporte seguro.

El Protocolo de estado de certificado en línea (OCSP) es parcialmente compatible con las siguientes notas.

• La extensión Must-Staple (ver 7633RFC) se ignora

• La conexión continuará si se presenta un certificado Must-Staple sin una respuesta grapada y el respondedor OCSP no está disponible

• La conexión no continuará si el cliente recibe una respuesta revocada de un respondedor OCSP