Configurar la Seguridad de la Capa de Transporte (TLS)

Overview

En esta guía, podrá aprender a utilizar el ProtocoloTLS para proteger su conexión a una implementación de MongoDB.

Cuando habilita TLS para una conexión, el controlador C++ realiza las siguientes acciones:

• Utiliza TLS para conectarse a la implementación de MongoDB

• Verifica el certificado de la implementación

• Asegura que el certificado certifique la implementación

Para saber cómo configurar su implementación de MongoDB para TLS, consulte la guía de configuración de TLS en el manual de MongoDB Server.

Habilitar TLS

Para habilitar TLS para la conexión a su instancia de MongoDB, configure la tls opción de conexión a true en su cadena de conexión, como se muestra en el siguiente ejemplo:

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");

Specify a CA File

Durante el protocolo de enlace TLS, la implementación de MongoDB presenta un archivo de clave de certificado a su aplicación para establecer su identidad. Normalmente, el certificado de una implementación ha sido firmado por una CA reconocida, y su aplicación depende de esta CA para validarlo.

Sin embargo, durante las pruebas, podría querer actuar como su propia CA. En este caso, debe indicar al controlador de C++ que use sus certificados de CA en lugar de los firmados por otra CA.

Para ello, especifique la ruta a un archivo .pem que contenga la cadena del certificado raíz. Puede hacerlo de dos maneras: estableciendo una propiedad en un objeto mongocxx::options::tls o usando el parámetro tlsCAFile en su cadena de conexión.

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCAFile=/path/to/file.pem");

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.ca_dir("/path/to/search/");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

Comprobar revocación de certificado

Cuando un certificado X.509 deja de ser confiable (por ejemplo, si su clave privada se ha visto comprometida), la CA lo revoca. El controlador de C++ incluye dos maneras de comprobar si el certificado de un servidor ha sido revocado.

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsDisableOCSPEndpointCheck=true");

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.crl_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

Presentar un Certificado de Cliente

Algunas implementaciones de MongoDB requieren que cada aplicación que se conecta presente un certificado de cliente que acredite su identidad. Para especificar el certificado de cliente que el controlador de C++ debe presentar, especifique la ruta del archivo .pem que contiene su certificado y clave privada.

Puede hacerlo de dos maneras: estableciendo una propiedad en un objeto mongocxx::options::tls o utilizando el parámetro tlsCertificateKeyFile en su cadena de conexión.

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/file.pem");

$ cat key.pem cert.pem > combined.pem

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
tls_options.pem_password("<password>");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/file.pem&tlsCertificateKeyFilePassword=<password>");

Permitir TLS inseguro

Cuando TLS está habilitado, el controlador de C++ verifica automáticamente el certificado que presenta el servidor. Al probar su código, puede deshabilitar esta verificación. Esto se conoce como TLS inseguro.

Cuando se habilita TLS inseguro, el controlador solo requiere que el servidor presente un certificado X.509. El controlador acepta un certificado incluso si se cumple alguna de las siguientes condiciones:

• El nombre de host del servidor y el nombre del sujeto (o nombre alternativo del sujeto) en el certificado no coinciden.

• El certificado está caducado o aún no es válido.

• El certificado no tiene un certificado raíz confiable en la cadena.

• El propósito del certificado no es válido para la identificación del servidor.

Para habilitar TLS inseguro, configure la opción de conexión tlsInsecure en true en su cadena de conexión, como se muestra en el siguiente ejemplo de código:

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true");

Para deshabilitar solo la validación del certificado, configure la opción tlsAllowInvalidCertificates en true y configure la opción tlsInsecure en false (o omítala):

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.allow_invalid_certificates(true);
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidCertificates=true");

Para deshabilitar solo la verificación del nombre de host, configure la opción tlsAllowInvalidHostnames en true y configure la opción tlsInsecure en false (o omítala):

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidHostnames=true");

Documentación de la API

Para obtener más información sobre cómo configurar TLS para el controlador C++, consulte la siguiente documentación de API:

• mongocxx::cliente

• mongocxx::uri

• mongocxx::instancia

• mongocxx::opciones::cliente

• mongocxx::opciones::tls