Configurar la Seguridad de la Capa de Transporte (TLS)

Overview

En esta guía, podrá aprender cómo utilizar el protocolo TLS para proteger su conexión a una implementación de MongoDB. TLS es un protocolo criptográfico que asegura la comunicación entre tu aplicación y MongoDB. Para configurar tu conexión para utilizar TLS, habilita la opción de TLS y proporciona tus certificados para la validación al crear un cliente.

Cuando se habilita TLS para una conexión, el controlador Scala realiza las siguientes acciones:

• Utiliza TLS para conectarse a la implementación de MongoDB

• Verifica el certificado de la implementación

Para saber cómo configurar su implementación de MongoDB para TLS, consulte la guía de configuración de TLS en el manual de MongoDB Server.

Por defecto, el driver admite conexiones TLS/SSL con los servidores de MongoDB, utilizando el soporte de TLS/SSL subyacente proporcionado por el JDK. Esto se puede cambiar mediante el API de Netty o la extensibilidad del API Java SE.

Habilitar TLS

Puede habilitar el TLS para la conexión a su implementación de MongoDB de las siguientes maneras:

• Usa el enabled() método de la clase SslSettings.Builder al crear una instancia de MongoClientSettings

• Establece el parámetro tls en tu URI de conexión

Selecciona el MongoClientSettings o la pestaña Connection URI para ver el código correspondiente que habilita TLS:

val tlsUri = "mongodb://localhost:27017/"
val tlsSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(tlsUri))
    .applyToSslSettings(builder => builder.enabled(true))
    .build()
val tlsClient1 = MongoClient(tlsSettings)

val tlsClient2 = MongoClient("mongodb://localhost:27017/?tls=true")

Configurar certificados

Las aplicaciones Scala que inician solicitudes TLS requieren acceso a certificados criptográficos que prueben la identidad de la aplicación y verifiquen otras aplicaciones con las que la aplicación Scala interactúa. Se puede configurar el acceso a estos certificados en la aplicación de las siguientes maneras:

• Usa un almacén de confianza JVM y un almacén de claves JVM

• Utiliza un almacén de confianza y un almacén de claves específicos del cliente

keytool -importcert -trustcacerts -file <path to certificate authority file>
      -keystore <path to trust store> -storepass <trust store password>

Desactivar la verificación del nombre de host

Por defecto, el controlador garantiza que el nombre de host incluido en los certificados TLS del servidor coincida con los nombres de host proporcionados al construir un MongoClient. Puedes desactivar la verificación del nombre de host de las siguientes maneras:

• Utiliza el método invalidHostNameAllowed() de la clase SslSettings.Builder al crear una instancia de MongoClientSettings.

• Establece el parámetro tlsAllowInvalidHostnames en tu URI de conexión

Seleccione la pestaña MongoClientSettings o Connection URI para ver el código correspondiente que deshabilita la verificación del nombre de host:

val invalidHostUri = "mongodb://localhost:27017/"
val invalidHostSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(invalidHostUri))
    .applyToSslSettings(builder => builder
        .enabled(true)
        .invalidHostNameAllowed(true)
    )
    .build()
val invalidHostClient1 = MongoClient(invalidHostSettings)

val invalidHostClient2 = MongoClient("mongodb://localhost:27017/?tls=true&tlsAllowInvalidHostnames=true")

Restringir conexiones a TLS 1.2

Para restringir tu aplicación a usar solo el protocolo TLS 1.2, configura la propiedad del sistema jdk.tls.client.protocols a "TLSv1.2".

Configurar TLS/SSL mediante Netty SslContext

Incluye las siguientes instrucciones de importación:

import io.netty.handler.ssl.SslContextBuilder
import io.netty.handler.ssl.SslProvider
import org.mongodb.scala.connection.TransportSettings

Para indicar al driver que utilice io.netty.handler.ssl.SslContext, configure NettyTransportSettings al definir el MongoClientSettings.

Utiliza MongoClientSettings.Builder.transportSettings() y NettyTransportSettings.Builder.sslContext() para crear tu configuración:

val sslContext = SslContextBuilder.forClient()
  .sslProvider(SslProvider.OPENSSL)
  .build()
val nettySettings = MongoClientSettings.builder()
  .applyToSslSettings {
    builder => builder.enabled(true)
  }
  .transportSettings(
    TransportSettings.nettyBuilder()
      .sslContext(sslContext)
      .build()
  )
  .build()
val mongoClient = MongoClient(nettySettings);

Personalizar la configuración con SSLContext

Si su configuración de TLS requiere personalización, puede establecer la propiedad sslContext de su objeto MongoClient. Pase un objeto SSLContext al constructor de método context() en el bloque applyToSslSettings(), como se muestra en el siguiente código:

val sslContext = SSLContext.getDefault()
val contextSettings = MongoClientSettings.builder()
    .applyToSslSettings(builder => builder
        .enabled(true)
        .context(sslContext)
    )
    .build()
val mongoClient = MongoClient(contextSettings);

Para obtener más información sobre la clase SSLContext, consulta la documentación de la API para Contexto SSL.

Online Certificate Status protocolo (OCSP)

OCSP es un estándar utilizado para verificar si los certificados X.509 han sido revocados. Una autoridad de certificación (CA) puede añadir un certificado X.509 a la Lista de revocación de certificados (CRL) antes de la expiración para invalidar el certificado. Cuando un cliente envía un certificado X.509 durante el protocolo de enlace TLS, el servidor de revocación del CA comprueba la CRL y devuelve un estado de good, revoked o unknown.

El controlador admite las siguientes variaciones de OCSP:

• OCSP impulsado por el cliente

• OCSP incorporar

Las siguientes secciones describen estas variaciones y muestran cómo habilitarlas para tu aplicación.

Documentación de la API

Para obtener más información sobre cualquiera de los tipos discutidos en esta guía, consulta la siguiente documentación de la API:

• Cadena de conexión

• MongoClientSettings