Configurar la Seguridad de la Capa de Transporte (TLS)

Overview

En esta guía, puedes aprender cómo utilizar el protocolo Transport Layer Security (TLS) para asegurar tu conexión a una implementación de MongoDB.

Para conectarse a una implementación de MongoDB usando TLS, debe realizar los siguientes pasos:

• Habilitar una conexión TLS en Mongo::Client.

• Especificar el certificado TLS del cliente.

• Especifica el certificado de la autoridad certificadora (CA) para verificar el certificado TLS del servidor.

Para aprender a configurar tu implementación de MongoDB para TLS, consulta Guía de configuración TLS en el manual del MongoDB Server.

Habilitar TLS

Puede habilitar el TLS para la conexión a su implementación de MongoDB de las siguientes maneras:

• Establezca la opción ssl en true en un nuevo objeto Mongo:Client.

• Configura la opción tls en true en tu cadena de conexión.

client = Mongo::Client.new(["<hostname>:<port>"], 
  ssl: true,
  ssl_cert: 'path/to/client.crt',
  ssl_key: 'path/to/client.key',
  ssl_ca_cert: 'path/to/ca.crt'
)

client = Mongo::Client.new(["<hostname>:<port>"],
  ssl: true,
  ssl_cert: 'path/to/client.pem',
  ssl_key: 'path/to/client.pem',
  ssl_ca_cert: 'path/to/ca.crt',
)

client = Mongo::Client.new(
  "mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=path%2fto%2fclient.pem&tlsCAFile=path%2fto%2fca.crt")

Especificar certificados TLS de cliente

El driver Ruby ofrece múltiples opciones para que especifiques el certificado TLS, la clave y el certificado CA con diferentes tipos de datos o tipos de objeto Realm.

Modificar el contexto TLS

Si tu configuración de TLS requiere personalización, puedes establecer hooks de contexto TLS añadiendo un objeto Ruby Proc nativo al arreglo Mongo.tls_context_hooks. Agregue el objeto Proc al arreglo antes de crear cualquier instancia Mongo::Client.

El siguiente ejemplo de código permite el cifrado AES256-SHA como el único cifrado que se utilizará para TLS:

Mongo.tls_context_hooks.push(
  Proc.new { |context|
    context.ciphers = ["AES256-SHA"]
  }
)

Las opciones del contexto TLS del controlador Ruby se basan en el manejo nativo de SSL de Ruby. Para obtener más información sobre las opciones de contexto TLS disponibles, consulta la documentación de Ruby para SSLContext.

verificación OCSP

Si el certificado proporcionado por el servidor contiene una URI de endpoint OCSP, el controlador emite por defecto una solicitud del Protocolo de Estado de Certificados en Línea (OCSP) al endpoint especificado para verificar la validez del certificado.

Para deshabilitar la verificación del endpoint de OCSP, configúre la opción Ruby :ssl_verify_ocsp_endpoint en false o configure la opción URI tlsDisableOCSPEndpointCheck en true al crear un cliente.

Permitir TLS no seguro

Cuando TLS está habilitado, el controlador Ruby verifica automáticamente el certificado que presenta el servidor. Cuando pruebe su código, puede deshabilitar esta verificación. Esto se conoce como TLS no seguro.

Cuando se habilita TLS no seguro, el controlador requiere solamente que el servidor presente un certificado X.509. El controlador acepta un certificado incluso si se da alguna de las siguientes situaciones:

• El nombre de host del servidor y el nombre del sujeto (o nombre alternativo del sujeto) en el certificado no coinciden.

• El certificado está caducado o todavía no es válido.

• El certificado no tiene un certificado raíz confiable en la cadena.

• El propósito del certificado no es válido para la identificación del servidor.

Para habilitar el TLS no seguro, establece la opción del cliente sslVerify o la opción URI tlsInsecure en true:

client = Mongo::Client.new(["<hostname>:<port>"],
  ssl: true,
  ssl_verify: false
)

client = Mongo::Client.new('mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true')

De igual modo, puedes establecer las siguientes opciones para deshabilitar la verificación del certificado o nombre de host:

Documentación de la API

Para obtener más información sobre cualquiera de los tipos y métodos discutidos en esta guía, consulta la siguiente documentación de la API:

• Mongo::cliente

• tls_context_hooks