Configurar la Seguridad de la Capa de Transporte (TLS)

OpenSSL

El driver C de MongoDB usa OpenSSL en plataformas Linux y Unix (excepto macOS). Las mejores prácticas del sector y algunas normativas exigen el uso de TLS 1.1 o superior, lo que requiere al menos OpenSSL 1.0.1. Utiliza el siguiente comando para verificar tu versión de OpenSSL:

openssl version

Asegúrese de que OpenSSL de su sistema sea una versión reciente (al menos 1.0.1), o utilice el siguiente comando para instalar una versión reciente en una ruta que no sea del sistema y compilar contra ella:

cmake -DOPENSSL_ROOT_DIR=/absolute/path/to/openssl

Al compilarse con OpenSSL, el driver intentará cargar el almacén de certificados por defecto del sistema, tal como lo configura la distribución. Esto se puede anular configurando la opción URI tlsCAFile o con los campos ca_file y ca_dir en el mongoc_ssl_opt_t.

El Protocolo de estado de certificado en línea (OCSP) es totalmente compatible cuando se utiliza OpenSSL 1.0.1+. Sin embargo, cuando crl_file se establece un con mongoc_ssl_opt_t y el crl_file revoca el certificado del servidor, el certificado se considera revocado, incluso si el certificado tiene una respuesta OCSP válida adjunta.

Compatibilidad TLS nativa en Windows (Secure canal)

El driver C de MongoDB soporta la librería nativa de TLS de Windows (Secure canal, o SChannel) y su librería nativa de criptografía (Cryptography API: siguiente Generation, o CNG).

When compiled against the Windows native libraries, the ca_dir option of a mongoc_ssl_opt_t is not supported and issues an error if used. Encrypted PEM files, set by using the tlsCertificateKeyPassword URI option, are also not supported and issue errors when you attempt to load them.

La opción URI tlsCertificateKeyFile puede referirse a un certificado codificado en el formato PKCS#8 o PKCS#1. A partir de la versión 2.1.0 del driver C, el driver importa la llave privada como una clave persistente para admitir algoritmos de firma modernos. En versiones anteriores, el controlador importaba la clave como efímera. Para obtener más información sobre la gestión de claves importadas, consulte Gestión de claves importadas.

Cuando se establece tlsCAFile, el driver importa el archivo de la Autoridad Certificadora al almacén de certificados System Local Machine Root. Cuando no se configura tlsCAFile, el driver busca el archivo de la Autoridad Certificadora utilizando el almacén de certificados System Local Machine Root para confirmar el certificado proporcionado.

When crl_file is set with mongoc_ssl_opt_t, the driver imports the revocation list to the System Local Machine Root certificate store. Setting tlsDisableOCSPEndpointCheck has no effect.

El Protocolo de Estado de Certificados en Línea (OCSP) es parcialmente compatible, con las siguientes notas:

• La extensión Must-Staple (ver 7633RFC) se ignora.

• La conexión continuará si se presenta un certificado Must-Staple sin una respuesta adjunta y el respondedor OCSP está inactivo.

• La conexión no continuará si el cliente recibe una respuesta revocada de un respondedor OCSP.

• When a crl_file is set with mongoc_ssl_opt_t, and the crl_file revokes the server's certificate, the OCSP response takes precedence. For example, if the server presents a certificate with a valid stapled OCSP response, the certificate is considered valid even if the crl_file marks it as revoked.

$cert = "client.pem"
# Compute the SHA256 fingerprint:
$fingerprint = (openssl x509 -in $cert -noout -fingerprint -sha256) -replace 'SHA256 Fingerprint=', '' -replace ':', ''
if (Select-String -Path $cert -Pattern '-----BEGIN RSA PRIVATE KEY-----' -Quiet) {
    # Key name for PKCS#1 key:
    $key_name = "libmongoc-$fingerprint-pkcs1"
    $csp = "Microsoft Enhanced Cryptographic Provider v1.0"
} elseif (Select-String -Path $cert -Pattern '-----BEGIN PRIVATE KEY-----' -Quiet) {
    # Key name for PKCS#8 key:
    $key_name = "libmongoc-$fingerprint-pkcs8"
    $csp = "Microsoft Software Key Storage Provider"
} else {
    Write-Output "Unexpected PEM format for $cert"
}

certutil -user -csp $csp -key $key_name

certutil -user -csp $csp -key $key_name

Soporte nativo de TLS en macOS / Darwin (Secure Transport)

El driver C de MongoDB es compatible tanto con la librería TLS nativa de Darwin como con Common Crypto, su librería criptográfica nativa.

Cuando se compila contra Secure Transport, las opciones ca_dir y crl_file de una mongoc_ssl_opt_t no son compatibles. Se emite un error si se utiliza cualquiera de los dos.

Cuando se establece tlsCAFile, el controlador solo permitirá los certificados de servidor emitidos por la autoridad (o autoridades) proporcionadas. Cuando no se establece tlsCAFile, el driver usará las autoridades certificadoras en los llaveros desbloqueados.

Establecer tlsDisableOCSPEndpointCheck y tlsDisableCertificateRevocationCheck no tiene efecto al compilar contra el transporte seguro.

El Protocolo de Estado de Certificado En línea (OCSP) está parcialmente soportado con las siguientes notas.

• La extensión Must-Staple (véase 7633RFC) se ignora.

• La conexión continuará si se presenta un certificado Must-Staple sin una respuesta adjunta y el responedor OCSP está inactivo

• La conexión no continuará si el cliente recibe una respuesta revocada de un respondedor OCSP