TLS/SSL (トランスポート暗号化)

TLS バージョン

MongoDB は、TLS 1.1 + が利用可能なシステムで TLS 1.0暗号化のサポートを無効にします。

TLS ライブラリ

MongoDB はネイティブ TLS/SSL OS ライブラリを使用します。

フォワード シークレシー

フォワード シークレシー暗号スイートは、サーバーの秘密キーで保護されているが送信されない一時的なセッション鍵を作成します。エフェメラル キーを使用すると、サーバーの秘密キーが侵害された場合でも、侵害されたキーで過去のセッションを復号化することはできません。

MongoDB は、エフェメラル ディフィー ヘルマン（DHE）アルゴリズムとエフェメラル楕円曲線ディフィー ヘルマン（ECDHE）アルゴリズムを使用するフォワード シークレシー暗号スイートをサポートしています。

mongod --setParameter opensslCipherConfig='HIGH:!EXPORT:!aNULL:!kECDHE:!ECDHE:!DHE:!kDHE@STRENGTH'

mongod --setParameter opensslCipherConfig='HIGH:!EXPORT:!aNULL:!DHE:!kDHE@STRENGTH'

証明書の有効期限の警告

mongodmongosX.509 証明書が30 mongod/mongosホスト システム時間から 日以内に期限切れになる場合、 / は接続時に警告を記録します。

OCSP（オンライン証明書ステータスプロトコル）

MongoDB 6 . 0以降では、最初の同期中にocspEnabledがtrueに設定されている場合、すべてのノードがOCSPレスポンダに到達できる必要があります。

ノードが STARTUP2 状態で失敗した場合、tlsOCSPVerifyTimeoutSecs を 5 未満の値に設定します。

証明書の失効を確認するために、MongoDB はデフォルトで OCSP（Online Certificate Status Protocol、オンライン証明書ステータス プロトコル）を有効（enables）にします。OCSP を使用すると、Certificate Revocation List (CRL) を定期的にダウンロードして、アップデートされた CRL を使って mongod や mongos を再起動する必要がなくなります。

MongoDB は、OCSP サポートの一環として、Linux 上で以下をサポートします。

• OCSP ステープリング。OCSP ステープリングを使用すると、mongod インスタンスと mongos インスタンスは、TLS/SSL ハンドシェイク中にこれらの証明書をクライアントに提供するときに、証明書に OCSP ステータス応答を添付、つまり「ステープリング（ホチキス止め）」します。OCSP ステープリングにより、提供された証明書の OCSP ステータスを検索するためにクライアントが別のリクエストを行う必要がなくなります。OCSP ステータス応答は証明書に含まれています。

• OCSP must-staple 拡張機能。OCSP must-staple は、サーバー証明書に追加できる拡張機能であり、TLS/SSL ハンドシェイク中にクライアントが証明書を受信するときに OCSP ステープリングを要求するように指示します。

MongoDB は、次の OCSP 関連のパラメーターも提供します。

これらのパラメーターは、setParameter 構成ファイル設定または --setParameter コマンドライン オプションを使用してスタートアップに設定できます。