Configurar la Seguridad de la Capa de Transporte (TLS)

Overview

En esta guía, puedes aprender cómo utilizar el TLS Protocolo para proteger su conexión a una implementación de MongoDB.

Cuando habilites TLS para una conexión, la librería de PHP ejecuta las siguientes acciones:

• Utiliza TLS para conectarse a la implementación de MongoDB

• Verifica el certificado de la implementación

• Garantiza que el certificado certifique la implementación

Para saber cómo configurar su implementación de MongoDB para TLS, consulte la guía de configuración de TLS en el manual de MongoDB Server.

Habilitar TLS

Para habilitar TLS para la conexión a tu implementación de MongoDB, configura la tls opción de conexión a true. Puedes hacerlo de dos maneras: utilizando el parámetro uriOptions del constructor MongoDB\Client o mediante un parámetro en tu cadena de conexión.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true';
$client = MongoDB\Client($uri);

Specify a CA File

Durante el handshake TLS, la implementación de MongoDB presenta a tu aplicación un archivo clave de certificado para establecer su identidad. Generalmente, un certificado de implementación ha sido firmado por una CA (autoridad certificadora) reconocida y la aplicación depende de esta CA para validar el certificado.

Sin embargo, durante las pruebas, puede que quieras actuar como tu propio CA. En este caso, debe indicar a la librería PHP que utilice sus certificados CA en lugar de los firmados por otra CA.

Para ello, utiliza la opción de conexión tlsCAFile para especificar la ruta a un archivo .pem que contenga la cadena de certificados raíz. Puedes hacerlo de dos maneras: mediante el parámetro uriOptions del constructor MongoDB\Client o mediante un parámetro en tu cadena de conexión.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCAFile' => '/path/to/ca.pem',
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCAFile=/path/to/ca.pem';
$client = MongoDB\Client($uri);

<?php
$uri = 'mongodb://<hostname>:<port>';
$uriOptions = ['tls' => true];
$driverOptions = ['ca_dir' => '/path/to/search/'];
$client = new MongoDB\Client($uri, $uriOptions, $driverOptions);

Comprobar revocación de certificado

Cuando un certificado X.509 deja de ser confiable —por ejemplo, si su clave privada ha sido comprometida—, la CA revoca el certificado. La librería PHP incluye dos formas de verificar si el certificado de un servidor ha sido revocado.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsDisableOCSPEndpointCheck' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsDisableOCSPEndpointCheck=true';
$client = MongoDB\Client($uri);

<?php
$uri = 'mongodb://<hostname>:<port>';
$uriOptions = ['tls' => true];
$driverOptions = ['crl_file' => '/path/to/file.pem'];
$client = new MongoDB\Client($uri, $uriOptions, $driverOptions);

Presentar un certificado de cliente

Algunas implementaciones de MongoDB requieren que cada aplicación que se conecte presente un certificado de cliente que acredite su identidad. Para especificar el certificado de cliente que la librería de PHP debe presentar, establece la opción tleCertificateKeyFile en la ruta de acceso al archivo .pem que contiene tu certificado y llave privada.

Esto se puede hacer de dos maneras: usando el parámetro uriOptions del constructor MongoDB\Client o a través de un parámetro en la cadena de conexión.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCertificateKeyFile' => '/path/to/client.pem',
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/client.pem';
$client = MongoDB\Client($uri);

$ cat key.pem cert.pem > combined.pem

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsCertificateKeyFile' => '/path/to/client.pem',
   'tlsCertificateKeyFilePassword' => '<passphrase>',
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/client.pem&tlsCertificateKeyFilePassword=<passphrase>';
$client = MongoDB\Client($uri);

Permitir TLS no seguro

Cuando TLS está activado, la librería PHP verifica automáticamente el certificado que presenta el servidor. Cuando pruebe su código, puede deshabilitar esta verificación. Esto se conoce como TLS no seguro.

Cuando se habilita TLS no seguro, el controlador requiere solamente que el servidor presente un certificado X.509. El controlador acepta un certificado incluso si se da alguna de las siguientes situaciones:

• El nombre de host del servidor y el nombre del sujeto (o nombre alternativo del sujeto) en el certificado no coinciden.

• El certificado está caducado o todavía no es válido.

• El certificado no tiene un certificado raíz confiable en la cadena.

• El propósito del certificado no es válido para la identificación del servidor.

Para habilitar TLS inseguro, configure la opción de conexión tlsInsecure en true. Puedes hacer esto de dos maneras: pasando un argumento al constructor MongoDB\Client o mediante un parámetro en tu cadena de conexión.

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsInsecure' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true';
$client = MongoDB\Client($uri);

Para desactivar únicamente la validación del certificado, establece la opción tlsAllowInvalidCertificates en true y la opción tlsInsecure en false o déjala fuera:

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsAllowInvalidCertificates' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidCertificates=true';
$client = MongoDB\Client($uri);

Para desactivar únicamente la verificación del nombre de host, establece la opción tlsAllowInvalidHostnames en true, y ajusta la opción tlsInsecure a false o déjala fuera:

$uri = 'mongodb://<hostname>:<port>';
$options = [
   'tls' => true,
   'tlsAllowInvalidHostnames' => true,
];
$client = new MongoDB\Client($uri, $options);

$uri = 'mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidHostnames=true';
$client = MongoDB\Client($uri);

Documentación de la API

Para aprender más sobre la configuración de TLS para la librería PHP, consulte la siguiente documentación de la API:

• MongoDB\Client