Configurar la Seguridad de la Capa de Transporte (TLS)

OCSP

Para utilizar el Protocolo de estado de certificado en línea (OCSP) para validar un certificado de servidor, debe instalar PyMongo con la opción ocsp, como se muestra en el siguiente ejemplo:

python -m pip install pymongo[ocsp]

El proceso de validación del certificado varía según la versión de MongoDB Server a la que se esté conectando:

• MongoDB v4.4 o posterior: El servidor envía una respuesta OCSP con marca de tiempo a su certificado. PyMongo valida el certificado con la respuesta OCSP. Si la CA ha revocado el certificado o si la respuesta OCSP no es válida por cualquier otro motivo, el protocolo de enlace TLS falla.

• MongoDB v4.3 o anterior: El servidor proporciona un punto final OCSP, con el que PyMongo contacta directamente. PyMongo valida el certificado con la respuesta OCSP. Si la CA no ha revocado el certificado, el protocolo de enlace TLS continúa, incluso si la respuesta OCSP no es válida o tiene un formato incorrecto.

Para evitar que PyMongo contacte con el punto final de OCSP, configure la opción de conexión tlsDisableOCSPEndpointCheck en True. Puede hacerlo de dos maneras: pasando un argumento al constructor MongoClient o mediante un parámetro en su cadena de conexión.

client = pymongo.MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>",
                             tls=True,
                             tlsDisableOCSPEndpointCheck=True)

uri = "mongodb://example.com/?tls=true&tlsDisableOCSPEndpointCheck=true"
client = pymongo.MongoClient(uri)

client = pymongo.AsyncMongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>",
                                  tls=True,
                                  tlsDisableOCSPEndpointCheck=True)

uri = "mongodb://example.com/?tls=true&tlsDisableOCSPEndpointCheck=true"
client = pymongo.AsyncMongoClient(uri)

Lista de revocación de certificados

En lugar de usar OCSP, puede indicar a PyMongo que compare el certificado del servidor con una Lista de Revocación de Certificados (CRL) publicada por la CA. Para ello, utilice la opción de conexión tlsCRLFile para especificar la ruta a un archivo .pem o .der de la CA. Puede hacerlo de dos maneras: pasando un argumento al constructor MongoClient o mediante un parámetro en la cadena de conexión.

client = pymongo.MongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>",
                             tls=True,
                             tlsCRLFile="/path/to/crl.pem")

uri = "mongodb://example.com/?tls=true&tlsCRLFile=/path/to/crl.pem"
client = pymongo.MongoClient(uri)

client = pymongo.AsyncMongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>",
                                  tls=True,
                                  tlsCRLFile="/path/to/crl.pem")

uri = "mongodb://example.com/?tls=true&tlsCRLFile=/path/to/crl.pem"
client = pymongo.AsyncMongoClient(uri)

Proporcionar una contraseña clave

Si la clave privada de su archivo de certificado está cifrada, debe proporcionar una contraseña. Para ello, utilice la opción de conexión tlsCertificateKeyFilePassword para especificar la contraseña o frase de contraseña de la clave privada cifrada. Puede hacerlo de dos maneras: pasando un argumento al constructor MongoClient o mediante un parámetro en su cadena de conexión.

client = pymongo.MongoClient("mongodb://<db_username>:<db_password>@<hostname:<port>",
                       tls=True,
                       tlsCertificateKeyFile='/path/to/client.pem',
                       tlsCertificateKeyFilePassword=<passphrase>)

uri = ("mongodb://<db_username>:<db_password>@<hostname:<port>/?"
       "tls=true"
       "&tlsCertificateKeyFile=path/to/client.pem"
       "&tlsCertificateKeyFilePassword=<passphrase>")
client = pymongo.MongoClient(uri)

client = pymongo.AsyncMongoClient("mongodb://<db_username>:<db_password>@<hostname>:<port>",
                              tls=True,
                              tlsCertificateKeyFile='/path/to/client.pem',
                              tlsCertificateKeyFilePassword=<passphrase>)

uri = ("mongodb://<db_username>:<db_password"
       "@<hostname>:<port>/?"
       "tls=true"
       "&tlsCertificateKeyFile=path/to/client.pem"
       "&tlsCertificateKeyFilePassword=<passphrase>")
client = pymongo.AsyncMongoClient(uri)

CERTIFICADO_VERIFICACIÓN_FALLÓ

Un mensaje de error similar al siguiente significa que OpenSSL no pudo verificar el certificado del servidor:

[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed

Esto sucede a menudo porque OpenSSL no puede acceder a los certificados raíz del sistema o porque los certificados están desactualizados.

Si usa Linux, asegúrese de tener instaladas las últimas actualizaciones del certificado raíz de su proveedor de Linux.

Si usa macOS y está ejecutando Python v3.7 o posterior que descargó de python.org, ejecute el siguiente comando para instalar certificados raíz:

open "/Applications/Python <YOUR PYTHON VERSION>/Install Certificates.command"

Si usa portable-pypy, podría necesitar configurar una variable de entorno para indicar a OpenSSL dónde encontrar los certificados raíz. El siguiente ejemplo de código muestra cómo instalar el módulo certifi desde PyPi y exportar la SSL_CERT_FILE variable de entorno:

$ pypy -m pip install certifi
$ export SSL_CERT_FILE=$(pypy -c "import certifi; print(certifi.where())")

VERSIÓN DEL PROTOCOLO DE ALERTA TLSV1

Un mensaje de error similar al siguiente significa que la versión de OpenSSL utilizada por Python no admite un protocolo TLS lo suficientemente nuevo para conectarse al servidor:

[SSL: TLSV1_ALERT_PROTOCOL_VERSION] tlsv1 alert protocol version

Las mejores prácticas de la industria recomiendan, y algunas regulaciones exigen, que se deshabiliten los protocolos TLS antiguos en algunas implementaciones de MongoDB. Algunas implementaciones podrían deshabilitar TLS 1.0, mientras que otras podrían deshabilitar TLS 1.0 y TLS 1.1.

No se requieren cambios en la aplicación para que PyMongo use las versiones más nuevas de TLS, pero algunas versiones de sistemas operativos podrían no proporcionar una versión de OpenSSL lo suficientemente nueva como para soportarlas.

Si usa macOS v10.12 (High Sierra) o anterior, instale Python desde python.org, homebrew, macports o una fuente similar.

Si usa Linux u otro Unix que no sea macOS, utilice el siguiente comando para comprobar su versión de OpenSSL:

$ openssl version

Si el comando anterior muestra un número de versión inferior a 1.0.1, la compatibilidad con TLS 1.1 o posterior no está disponible. Actualice a una versión más reciente o contacte con el proveedor de su sistema operativo para obtener una solución.

Para comprobar la versión TLS de su intérprete de Python, instale el módulo requests y ejecute el siguiente código:

python -c "import requests; print(requests.get('https://www.howsmyssl.com/a/check', verify=False).json()['tls_version'])"

Debería ver TLS 1.1 o posterior.

Respuesta de estado no válida

Un mensaje de error similar al siguiente significa que la verificación de revocación del certificado falló:

[('SSL routines', 'tls_process_initial_server_flight', 'invalid status response')]

Para obtener más detalles, consulta la sección OCSP de esta guía.

SSLV3_ALERTA_FALLO_DE_CONTROL_DE_MANOS

Al utilizar Python v3.10 o posterior con versiones de MongoDB anteriores a la v4.0, puedes ver errores similares a los siguientes mensajes:

SSL handshake failed: localhost:27017: [SSL: SSLV3_ALERT_HANDSHAKE_FAILURE] sslv3 alert handshake failure (_ssl.c:997)
SSL handshake failed: localhost:27017: EOF occurred in violation of protocol (_ssl.c:997)

Los registros del servidor MongoDB también podrían mostrar el siguiente error:

2021-06-30T21:22:44.917+0100 E NETWORK  [conn16] SSL: error:1408A0C1:SSL routines:ssl3_get_client_hello:no shared cipher

Cambios realizados en el módulo SSL en Python v3.10 podría causar incompatibilidades con versiones de MongoDB anteriores a la v4.0. Para resolver este problema, intenta uno o más de los siguientes pasos:

• Degradar Python a v3.9 o anterior

• Actualizar MongoDB Server a v4.2 o posterior

• Instale PyMongo con la opción OCSP, que se basa en PyOpenSSL

Renegociación de legado inseguro deshabilitada

Al utilizar OpenSSL v3 o posterior, es posible que vea un error similar al siguiente mensaje:

[SSL: UNSAFE_LEGACY_RENEGOTIATION_DISABLED] unsafe legacy renegotiation disabled

Este tipo de errores ocurren debido a servidores proxy SSL obsoletos o con errores que aplican por error la renegociación de TLS heredada.

Para resolver este problema, realice los siguientes pasos:

openssl version

openssl_conf = openssl_init
[openssl_init]
ssl_conf = ssl_sect
[ssl_sect]
system_default = system_default_sect
[system_default_sect]
Options = UnsafeLegacyServerConnect

OPENSSL_CONF=/path/to/the/config/file/above.cnf python ...