Configurar la Seguridad de la Capa de Transporte (TLS)

OpenSSL

El driver C de MongoDB usa OpenSSL en plataformas Linux y Unix (excepto macOS). Las mejores prácticas del sector y algunas normativas exigen el uso de TLS 1.1 o superior, lo que requiere al menos OpenSSL 1.0.1. Utiliza el siguiente comando para verificar tu versión de OpenSSL:

openssl version

Asegúrese de que la versión de OpenSSL de su sistema sea reciente (al menos 1.0.1) o utilice el siguiente comando para instalar una versión reciente en una ruta que no sea del sistema y compilarla en ella:

cmake -DOPENSSL_ROOT_DIR=/absolute/path/to/openssl

Al compilarse con OpenSSL, el driver intentará cargar el almacén de certificados por defecto del sistema, tal como lo configura la distribución. Esto se puede anular configurando la opción URI tlsCAFile o con los campos ca_file y ca_dir en el mongoc_ssl_opt_t.

El Protocolo de Estado de Certificado en Línea (OCSP) está completamente soportado cuando se utiliza OpenSSL 1.0.1+}. Sin embargo, cuando se configura un crl_file con mongoc_ssl_opt_t y el crl_file revoca el certificado del servidor, el certificado se considera revocado, incluso si el certificado tiene una respuesta OCSP válida adjunta.

Compatibilidad TLS nativa en Windows (Secure canal)

El controlador C de MongoDB admite la biblioteca TLS nativa de Windows (Secure Channel o SChannel) y su biblioteca de criptografía nativa (Cryptography API: Next Generation o CNG).

Cuando se compila con las librerías nativas de Windows, la opción ca_dir de un mongoc_ssl_opt_t no es compatible y emite un error si se utiliza. Los archivos PEM cifrados, configurados mediante la opción URI tlsCertificateKeyPassword, tampoco son compatibles y emiten errores cuando se intenta cargarlos.

La opción URI tlsCertificateKeyFile puede referirse a un certificado codificado en el formato PKCS#8 o PKCS#1. A partir de la versión 2.1.0 del driver C, el driver importa la llave privada como una clave persistente para admitir algoritmos de firma modernos. En versiones anteriores, el controlador importaba la clave como efímera. Para obtener más información sobre la gestión de claves importadas, consulte Gestión de claves importadas.

Cuando se establece tlsCAFile, el driver importa el archivo de la Autoridad Certificadora al almacén de certificados System Local Machine Root. Cuando no se configura tlsCAFile, el driver busca el archivo de la Autoridad Certificadora utilizando el almacén de certificados System Local Machine Root para confirmar el certificado proporcionado.

Cuando se establece crl_file con mongoc_ssl_opt_t, el driver importa la lista de revocación al almacén de certificados System Local Machine Root. Establecer tlsDisableOCSPEndpointCheck no tiene efecto.

El Protocolo de Estado de Certificados en Línea (OCSP) es parcialmente compatible, con las siguientes notas:

• La extensión Must-Staple (ver RFC 7633) se ignora.

• La conexión continuará si se presenta un certificado Must-Staple sin una respuesta adjunta y el respondedor OCSP está inactivo.

• La conexión no continuará si el cliente recibe una respuesta revocada de un respondedor OCSP.

• Cuando se configura un crl_file con mongoc_ssl_opt_t, y el crl_file revoca el certificado del servidor, la respuesta OCSP tiene prioridad. Por ejemplo, si el servidor presenta un certificado con una respuesta OCSP adherida válida, el certificado se considera válido incluso si el crl_file lo marca como revocado.

$cert = "client.pem"
# Compute the SHA256 fingerprint:
$fingerprint = (openssl x509 -in $cert -noout -fingerprint -sha256) -replace 'SHA256 Fingerprint=', '' -replace ':', ''
if (Select-String -Path $cert -Pattern '-----BEGIN RSA PRIVATE KEY-----' -Quiet) {
    # Key name for PKCS#1 key:
    $key_name = "libmongoc-$fingerprint-pkcs1"
    $csp = "Microsoft Enhanced Cryptographic Provider v1.0"
} elseif (Select-String -Path $cert -Pattern '-----BEGIN PRIVATE KEY-----' -Quiet) {
    # Key name for PKCS#8 key:
    $key_name = "libmongoc-$fingerprint-pkcs8"
    $csp = "Microsoft Software Key Storage Provider"
} else {
    Write-Output "Unexpected PEM format for $cert"
}

certutil -user -csp $csp -key $key_name

certutil -user -csp $csp -key $key_name

Soporte nativo de TLS en macOS / Darwin (Secure Transport)

El driver C de MongoDB es compatible tanto con la librería TLS nativa de Darwin como con Common Crypto, su librería criptográfica nativa.

Al compilar con Secure Transport, no se ca_dir crl_file admiten las opciones y de mongoc_ssl_opt_t. Si se utiliza alguna de ellas, se genera un error.

Cuando se establece tlsCAFile, el controlador solo permitirá los certificados de servidor emitidos por la autoridad (o autoridades) proporcionadas. Cuando no se establece tlsCAFile, el driver usará las autoridades certificadoras en los llaveros desbloqueados.

Establecer tlsDisableOCSPEndpointCheck y tlsDisableCertificateRevocationCheck no tiene efecto al compilar contra el transporte seguro.

El Protocolo de Estado de Certificado En línea (OCSP) está parcialmente soportado con las siguientes notas.

• La extensión Must-Staple (ver 7633RFC) se ignora

• La conexión continuará si se presenta un certificado Must-Staple sin una respuesta adjunta y el responedor OCSP está inactivo

• La conexión no continuará si el cliente recibe una respuesta revocada de un respondedor OCSP