Configurar la Seguridad de la Capa de Transporte (TLS)

Overview

En esta guía, puede aprender a utilizar el protocolo de seguridad de la capa de transporte (TLS) para proteger su conexión a una implementación de MongoDB.

Para conectarse a una implementación de MongoDB mediante TLS, debe realizar los siguientes pasos:

• Habilitar una conexión TLS en Mongo::Client.

• Especifique el certificado TLS del cliente.

• Especifica el certificado de la autoridad certificadora (CA) para verificar el certificado TLS del servidor.

Para aprender a configurar su implementación de MongoDB para TLS, consulte la Guía de configuración de TLS en el manual del servidor MongoDB.

Habilitar TLS

Puede habilitar TLS para la conexión a su implementación de MongoDB de las siguientes maneras:

• Establezca la opción ssl en true en un nuevo objeto Mongo:Client.

• Establezca la opción tls en true en su cadena de conexión.

client = Mongo::Client.new(["<hostname>:<port>"], 
  ssl: true,
  ssl_cert: 'path/to/client.crt',
  ssl_key: 'path/to/client.key',
  ssl_ca_cert: 'path/to/ca.crt'
)

client = Mongo::Client.new(["<hostname>:<port>"],
  ssl: true,
  ssl_cert: 'path/to/client.pem',
  ssl_key: 'path/to/client.pem',
  ssl_ca_cert: 'path/to/ca.crt',
)

client = Mongo::Client.new(
  "mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=path%2fto%2fclient.pem&tlsCAFile=path%2fto%2fca.crt")

Especificar certificados TLS de cliente

El controlador Ruby proporciona múltiples opciones para que usted especifique el certificado TLS, la clave y el certificado CA con diferentes tipos de datos u objetos.

Modificar el contexto TLS

Si su configuración de TLS requiere personalización, puede configurar los ganchos de contexto de TLS añadiendo un objeto Ruby nativo Proc a la matriz Mongo.tls_context_hooks. Añada el objeto Proc a la matriz antes de crear cualquier instancia Mongo::Client.

El siguiente ejemplo de código permite el cifrado AES256-SHA como el único cifrado que se utilizará para TLS:

Mongo.tls_context_hooks.push(
  Proc.new { |context|
    context.ciphers = ["AES256-SHA"]
  }
)

Las opciones de contexto TLS del controlador Ruby se basan en la gestión nativa de SSL de Ruby. Para obtener más información sobre las opciones de contexto TLS disponibles, consulte la documentación de Ruby para SSLContext.

Verificación OCSP

Si el certificado proporcionado por el servidor contiene un URI de punto final OCSP, el controlador emite una solicitud de Protocolo de estado de certificado en línea (OCSP) al punto final especificado de manera predeterminada para verificar la validez del certificado.

Para deshabilitar la verificación del punto final de OCSP, configure la opción Ruby :ssl_verify_ocsp_endpoint en false o configure la opción URI tlsDisableOCSPEndpointCheck en true al crear un cliente.

Permitir TLS inseguro

Cuando TLS está habilitado, el controlador Ruby verifica automáticamente el certificado que presenta el servidor. Al probar su código, puede deshabilitar esta verificación. Esto se conoce como TLS inseguro.

Cuando se habilita TLS inseguro, el controlador solo requiere que el servidor presente un certificado X.509. El controlador acepta un certificado incluso si se cumple alguna de las siguientes condiciones:

• El nombre de host del servidor y el nombre del sujeto (o nombre alternativo del sujeto) en el certificado no coinciden.

• El certificado está caducado o aún no es válido.

• El certificado no tiene un certificado raíz confiable en la cadena.

• El propósito del certificado no es válido para la identificación del servidor.

Para habilitar TLS inseguro, configure la opción de cliente sslVerify o la opción URI tlsInsecure en true:

client = Mongo::Client.new(["<hostname>:<port>"],
  ssl: true,
  ssl_verify: false
)

client = Mongo::Client.new('mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true')

De igual modo, puedes establecer las siguientes opciones para deshabilitar la verificación del certificado o nombre de host:

Documentación de la API

Para obtener más información sobre cualquiera de los tipos y métodos analizados en esta guía, consulte la siguiente documentación de API:

• Mongo::Cliente

• ganchos de contexto tls