Configurar la Seguridad de la Capa de Transporte (TLS)

Overview

En esta guía, aprenderá a usar el protocolo TLS para proteger su conexión a una implementación de MongoDB. TLS es un protocolo criptográfico que protege la comunicación entre su aplicación y MongoDB. Para configurar su conexión con TLS, habilite la opción TLS y proporcione sus certificados para su validación al crear un cliente.

Cuando habilita TLS para una conexión, el controlador Scala realiza las siguientes acciones:

• Utiliza TLS para conectarse a la implementación de MongoDB

• Verifica el certificado de la implementación

Para saber cómo configurar su implementación de MongoDB para TLS, consulte la guía de configuración de TLS en el manual de MongoDB Server.

Por defecto, el driver admite conexiones TLS/SSL con los servidores de MongoDB, utilizando el soporte de TLS/SSL subyacente proporcionado por el JDK. Esto se puede cambiar mediante el API de Netty o la extensibilidad del API Java SE.

Habilitar TLS

Puede habilitar TLS para la conexión a su implementación de MongoDB de las siguientes maneras:

• Uso el enabled() método de la clase SslSettings.Builder al crear una instancia MongoClientSettings

• Establezca el parámetro tls en su URI de conexión

Seleccione el MongoClientSettings o la pestaña Connection URI para ver el código correspondiente que habilita TLS:

val tlsUri = "mongodb://localhost:27017/"
val tlsSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(tlsUri))
    .applyToSslSettings(builder => builder.enabled(true))
    .build()
val tlsClient1 = MongoClient(tlsSettings)

val tlsClient2 = MongoClient("mongodb://localhost:27017/?tls=true")

Configurar certificados

Las aplicaciones Scala que inician solicitudes TLS requieren acceso a certificados criptográficos que acreditan la identidad de la aplicación y verifican otras aplicaciones con las que interactúa. Puede configurar el acceso a estos certificados en su aplicación de las siguientes maneras:

• Usa un almacén de confianza JVM y un almacén de claves JVM

• Utilice un almacén de confianza y un almacén de claves específicos del cliente

keytool -importcert -trustcacerts -file <path to certificate authority file>
      -keystore <path to trust store> -storepass <trust store password>

Deshabilitar la verificación del nombre de host

De forma predeterminada, el controlador garantiza que el nombre de host incluido en los certificados TLS del servidor coincida con los nombres de host proporcionados al construir un MongoClient. Puede deshabilitar la verificación del nombre de host de las siguientes maneras:

• Utilice el método invalidHostNameAllowed() de la clase SslSettings.Builder al crear una instancia MongoClientSettings

• Establezca el parámetro tlsAllowInvalidHostnames en su URI de conexión

Seleccione la pestaña MongoClientSettings o Connection URI para ver el código correspondiente que deshabilita la verificación del nombre de host:

val invalidHostUri = "mongodb://localhost:27017/"
val invalidHostSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(invalidHostUri))
    .applyToSslSettings(builder => builder
        .enabled(true)
        .invalidHostNameAllowed(true)
    )
    .build()
val invalidHostClient1 = MongoClient(invalidHostSettings)

val invalidHostClient2 = MongoClient("mongodb://localhost:27017/?tls=true&tlsAllowInvalidHostnames=true")

Restringir conexiones a TLS 1.2

Para restringir su aplicación a utilizar únicamente el protocolo TLS 1.2, configure la propiedad del sistema jdk.tls.client.protocols en "TLSv1.2".

Configurar TLS/SSL mediante Netty SslContext

Incluya las siguientes declaraciones de importación:

import io.netty.handler.ssl.SslContextBuilder
import io.netty.handler.ssl.SslProvider
import org.mongodb.scala.connection.TransportSettings

Para indicarle al controlador que utilice io.netty.handler.ssl.SslContext, configure NettyTransportSettings cuando defina MongoClientSettings su.

Utilice MongoClientSettings.Builder.transportSettings() y NettyTransportSettings.Builder.sslContext() para crear su configuración:

val sslContext = SslContextBuilder.forClient()
  .sslProvider(SslProvider.OPENSSL)
  .build()
val nettySettings = MongoClientSettings.builder()
  .applyToSslSettings {
    builder => builder.enabled(true)
  }
  .transportSettings(
    TransportSettings.nettyBuilder()
      .sslContext(sslContext)
      .build()
  )
  .build()
val mongoClient = MongoClient(nettySettings);

Personalizar la configuración con SSLContext

Si su configuración TLS requiere personalización, puede establecer la propiedad sslContext de su objeto MongoClient. Pase un objeto SSLContext al generador de métodos context() en el bloque applyToSslSettings(), como se muestra en el siguiente código:

val sslContext = SSLContext.getDefault()
val contextSettings = MongoClientSettings.builder()
    .applyToSslSettings(builder => builder
        .enabled(true)
        .context(sslContext)
    )
    .build()
val mongoClient = MongoClient(contextSettings);

Para obtener más información sobre la SSLContext clase, consulte la documentación de la API para el contexto SSL.

Protocolo de estado de certificado en línea (OCSP)

OCSP es un estándar utilizado para comprobar si los certificados X.509 han sido revocados. Una autoridad de certificación (CA) puede añadir un certificado X.509 a la Lista de Revocación de Certificados (CRL) antes de su fecha de caducidad para invalidarlo. Cuando un cliente envía un certificado X.509 durante el protocolo de enlace TLS, el servidor de revocación de la CA comprueba la CRL y devuelve un estado de good, revoked o unknown.

El controlador admite las siguientes variaciones de OCSP:

• OCSP impulsado por el cliente

• Grapado OCSP

Las siguientes secciones describen estas variaciones y muestran cómo habilitarlas para su aplicación.

Documentación de la API

Para obtener más información sobre cualquiera de los tipos analizados en esta guía, consulte la siguiente documentación de API:

• Cadena de conexión

• MongoClientSettings