Configurar la Seguridad de la Capa de Transporte (TLS)

Overview

En esta guía, podrá aprender a utilizar el TLS Protocolo para proteger su conexión a una implementación de MongoDB.

Cuando habilita TLS para una conexión, la biblioteca PHP realiza las siguientes acciones:

• Utiliza TLS para conectarse a la implementación de MongoDB

• Verifica el certificado de la implementación

• Asegura que el certificado certifique la implementación

Para saber cómo configurar su implementación de MongoDB para TLS, consulte la guía de configuración de TLS en el manual de MongoDB Server.

Habilitar TLS

Para habilitar TLS para la conexión a su implementación de MongoDB, configure la tls Opción de conexión a true. Puede hacerlo de dos maneras: usando el parámetro uriOptions del constructor MongoDB\Client o mediante un parámetro en su cadena de conexión.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true';
$client = MongoDB\Client($uri);

Specify a CA File

Durante el protocolo de enlace TLS, la implementación de MongoDB presenta un archivo de clave de certificado a su aplicación para establecer su identidad. Normalmente, el certificado de una implementación ha sido firmado por una CA (autoridad de certificación) reconocida, y su aplicación depende de esta CA para validarlo.

Sin embargo, durante las pruebas, podría querer actuar como su propia CA. En este caso, debe indicar a la biblioteca PHP que use sus certificados de CA en lugar de los firmados por otra CA.

Para ello, utilice la opción de conexión tlsCAFile para especificar la ruta a un archivo .pem que contenga la cadena del certificado raíz. Puede hacerlo de dos maneras: mediante el parámetro uriOptions del constructor MongoDB\Client o mediante un parámetro en la cadena de conexión.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCAFile' => '/path/to/ca.pem',
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCAFile=/path/to/ca.pem';
$client = MongoDB\Client($uri);

<?php
$uri = 'mongodb://<hostname>:<port>';
$uriOptions = ['tls' => true];
$driverOptions = ['ca_dir' => '/path/to/search/'];
$client = new MongoDB\Client($uri, $uriOptions, $driverOptions);

Comprobar revocación de certificado

Cuando un certificado X.509 deja de ser confiable (por ejemplo, si su clave privada se ha visto comprometida), la CA lo revoca. La biblioteca PHP incluye dos maneras de comprobar si el certificado de un servidor ha sido revocado.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsDisableOCSPEndpointCheck' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsDisableOCSPEndpointCheck=true';
$client = MongoDB\Client($uri);

<?php
$uri = 'mongodb://<hostname>:<port>';
$uriOptions = ['tls' => true];
$driverOptions = ['crl_file' => '/path/to/file.pem'];
$client = new MongoDB\Client($uri, $uriOptions, $driverOptions);

Presentar un Certificado de Cliente

Algunas implementaciones de MongoDB requieren que cada aplicación que se conecte presente un certificado de cliente que acredite su identidad. Para especificar el certificado de cliente que la biblioteca PHP debe presentar, configure la opción tleCertificateKeyFile con la ruta del archivo .pem que contiene su certificado y clave privada.

Esto se puede hacer de dos maneras: usando el parámetro uriOptions del constructor MongoDB\Client o a través de un parámetro en la cadena de conexión.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCertificateKeyFile' => '/path/to/client.pem',
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/client.pem';
$client = MongoDB\Client($uri);

$ cat key.pem cert.pem > combined.pem

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCertificateKeyFile' => '/path/to/client.pem',
   'tlsCertificateKeyFilePassword' => '<passphrase>',
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/client.pem&tlsCertificateKeyFilePassword=<passphrase>';
$client = MongoDB\Client($uri);

Permitir TLS inseguro

Cuando TLS está habilitado, la biblioteca PHP verifica automáticamente el certificado que presenta el servidor. Al probar su código, puede deshabilitar esta verificación. Esto se conoce como TLS inseguro.

Cuando se habilita TLS inseguro, el controlador solo requiere que el servidor presente un certificado X.509. El controlador acepta un certificado incluso si se cumple alguna de las siguientes condiciones:

• El nombre de host del servidor y el nombre del sujeto (o nombre alternativo del sujeto) en el certificado no coinciden.

• El certificado está caducado o aún no es válido.

• El certificado no tiene un certificado raíz confiable en la cadena.

• El propósito del certificado no es válido para la identificación del servidor.

Para habilitar TLS inseguro, configure la opción de conexión tlsInsecure en true. Puede hacerlo de dos maneras: pasando un argumento al constructor MongoDB\Client o mediante un parámetro en su cadena de conexión.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsInsecure' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true';
$client = MongoDB\Client($uri);

Para deshabilitar solo la validación del certificado, configure la opción tlsAllowInvalidCertificates en true y configure la opción tlsInsecure en false u omítala:

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsAllowInvalidCertificates' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidCertificates=true';
$client = MongoDB\Client($uri);

Para deshabilitar solo la verificación del nombre de host, configure la opción tlsAllowInvalidHostnames en true y configure la opción tlsInsecure en false u omítala:

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsAllowInvalidHostnames' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidHostnames=true';
$client = MongoDB\Client($uri);

Documentación de la API

Para obtener más información sobre cómo configurar TLS para la biblioteca PHP, consulte la siguiente documentación de API:

• MongoDB\Client