FAQ: 보안

내 애플리케이션이 TLS 1.3을 지원하는지 어떻게 알 수 있나요?

기본 프로그래밍 언어 또는 보안 라이브러리가 TLS 1.3 이전 버전인 애플리케이션은 TLS 1.3을 지원하려면 최신 버전으로 업데이트해야 할 수 있습니다. 또한 애플리케이션 호스트 운영 체제가 TLS 1.3을 지원하도록 업데이트해야 할 수도 있습니다.

MongoDB와 Atlas는 외부 애플리케이션이 어떤 버전의 TLS를 지원하는지 감사하는 서비스를 제공하지 않습니다. 타사 서비스(예: howsmyssl.com)라면 적절한 도구 지원을 제공할 수 있습니다. MongoDB는 이러한 서비스를 지원하지 않으며, 관련 참조 페이지는 정보 제공 목적으로만 수록됩니다. 애플리케이션 감사를 위해 벤더 또는 서비스를 선택하려면 조직의 절차를 따르세요.

TLS 1.3용 클러스터를 업데이트하려면 어떻게 해야 합니까?

• TLS 1.3 지원을 위해 애플리케이션 감사를 수행합니다.

• TLS 1.3 을 지원 하지 않는 기술 스택 의 모든 구성 요소를 업데이트합니다.

• TLS 을 사용하도록 클러스터 구성을수정 1.3 하세요.

• 사용자 1.2 지정 TLS 암호 구성이 있는 경우, 구성을 업데이트하여 TLS 1.3 암호를 포함해야 합니다.

Atlas 클러스터는 TLS 인증서를 얼마나 자주 교체하나요?

TLS 인증서는 발급된 90 날로부터 일 동안 유효합니다. 인증서는 인증서 만료 날짜 42 일 전에 로테이션됩니다.

노드 의 TLS 인증서 만료를 확인하려면 다음 명령을 사용하세요.

echo | openssl s_client -showcerts -connect $HOSTNAME:$PORT 2> /dev/null | openssl x509 -noout -enddate

하드 코딩된 인증 기관.

중간 인증서를 하드 코딩하거나 고정하는 것 은 운영상의 부담과 가용성 위험을 유발하므로 권장하지 않습니다. Let's Encrypt 또는 Google Trust Services에서 고정된 중간 인증서를 순환하거나 교체하는 경우 애플리케이션 연결에 실패하여 서비스가 중단될 수 있습니다.

인증서를 고정해야 하는 경우 중간 인증서가 아닌 인증 기관 인증서에 고정합니다.

Java 사용자

Let's Encrypt의 ISRG 루트 인증서와 Google Trust Services 루트 인증서는 모두 7u391 업데이트 이후의 Java 버전 7 및 8u381 업데이트 이후의 Java 버전 8 의 기본값 신뢰 저장에서 사용할 수 있습니다. 18 7월 2023 이후 Java 출시하다 사용합니다.

Java 클라이언트 소프트웨어가 최신 상태인지 확인하세요. 최신 Java 버전을 사용하여 TLS 인증서에 대한 이 새로운 인증 기관 요구 사항 외에도 여러 개선 사항을 활용하세요.

자체 신뢰 저장 있는 경우 Let's Encrypt 및 Google Trust Services 인증서를 추가합니다. 자세한 학습 MongoDB Atlas TLS 인증서에 서명하는 인증 기관은 무엇인가요?를 참조하세요.

Windows Server 사용자

ISRG Root X,1 GTS Root R1 및 GTS Root R2 Root Certificate Authority(인증 기관)는 Windows Server에 기본값 으로 포함되어 있지 않지만,Microsoft 신뢰할 수 있는 루트 프로그램)에서 사용할 수 있습니다.

신뢰할 수 있는 루트 인증서를 다운로드 하도록 Windows Server를 구성하려면 Windows 설명서를 참조하세요.

Amazon Linux AMI 사용자

일부 버전의 Amazon Linux AMI 에는 ISRG Root X1 및 GTS Root R1 및 R2 인증서가 모두 없을 수 있습니다. 필수 루트 인증서를 받으려면 최신 버전의 Amazon Linux 로 마이그레이션 하세요. 6월 2025 이후에는 인증서 호환성 문제를 방지하기 위해 Atlas 에 ISRG Root X1, GTS Root R1 및 R2 인증서의 지원 이 필요합니다.

이전 Amazon Linux AMI를 사용해야 하는 경우, ISRG Root X1, GTS Root R1 및 R2 Root Certificate Authority를 수동으로 설치합니다.

그 외 모든 사용자

프로그래밍 언어 및 운영 체제 버전을 사용하는 경우 이 변경 사항은 영향을 미치지 않습니다.

UNSAFE_TLS_TRANSITION 오류 원인

현재 및 제안된 TLS 구성 간에 중복이 없는 경우 이 오류가 발생합니다.

• TLS 버전이 일치하지 않습니다.

  • 예시: TLS 1.2만 사용에서 TLS 1.3만 사용으로 직접 전환.

  • 결과: TLS 1.2 을 사용하는 노드는 TLS 1.3을 필요로 하는 노드에 연결할 수 없습니다.

• 암호 제품군 불일치.

  • 예시: 기존의 모든 암호 스위트를 완전히 다른 세트로 대체합니다.

  • 결과: 노드에는 연결을 협상할 공유 암호가 없습니다.

UNSAFE_TLS_TRANSITION 오류 해결

TLS 변경을 단계별로 수행하고 이전 설정과 새 설정 사이에 중복이 있도록 합니다.

TLS 버전:

1. TLS 1.2 및 TLS 1.3 두 개 모두 활성화합니다.

2. 변경사항을 적용하고 업데이트가 완료될 때까지 기다립니다.

3. 후속 업데이트에서 TLS 1.2 을 제거합니다(원할 경우).

암호 제품군의 경우:

• 전환 동안 현재 구성과 새 구성 간에 적어도 하나의 암호 스위트가 공유되도록 합니다.

UNSAFE_TLS_TRANSITION 오류 주요 내용

"일과성" TLS 변경을 피합니다. 안전한 롤링 업데이트를 위해 항상 이전 구성과 새 구성 간의 일시적 호환성을 유지합니다.

드라이버 카테고리

공식 지원 드라이버

MongoDB는 mongodb.com/ko-kr/docs/drivers에 나와 있는 이러한 드라이버를 개발하고 유지합니다. MongoDB의 테스트 매트릭스, 릴리즈 프로세스 및 지원 SLA는 이러한 드라이버에 적용됩니다.

공식적으로 지원되는 드라이버에는 C, C++, C#, Go, Java, Kotlin, Node.js 등이 있습니다. PHP, Python, Ruby, Rust, Scala, Swift.

Community 드라이버

제3자 개발자는 MongoDB의 공개된 사양 또는 유선 프로토콜을 구현하는 이러한 드라이버를 만들고 유지합니다. 예시로 Zookzook(Elixir), Mango(Dart), mongolite(R), mgo(Go)가 있습니다.

지원되지 않는 구성

사용 중인 종료 버전에서 사용되는 공식 지원 또는 Community 드라이버입니다.

지원 수준

공식 지원 드라이버(현재 버전)

Atlas SLA는 이러한 드라이버를 지원합니다. MongoDB는 연결 문제에 대한 조사 및 수정을 포함하여 표준 문제 해결 및 해결을 제공합니다.

공식 지원 드라이버(EOL 버전)

MongoDB는 최선의 노력을 통해 지원합니다. MongoDB는 문제를 조사하지만 현재 버전으로 업그레이드하도록 권장할 수 있습니다.

Community 드라이버

MongoDB는 최선의 노력을 다하여 진단에만 지원합니다. 지원을 통해 문제가 플랫폼에서 발생하는지 드라이버에서 발생하는지 확인할 수 있습니다. 드라이버 측 문제의 경우 MongoDB는 사용 가능한 지침을 제공하고 드라이버 유지 관리자에게 문의합니다. MongoDB는 Community 드라이버 코드를 디버그하거나 패치하지 않습니다.

책임

무엇이 |service| 합니까?

Atlas는 TLS 버전 변경, 인증서 로테이션 및 인증 메커니즘 업데이트를 포함하여 연결 계층에 영향을 미치는 플랫포림 변경에 대해 위험 평가를 수행합니다. Atlas는 취약성이 클라이언트 사이드 코드에서 비롯된 경우에도 알려진 취약성 패턴을 평가합니다.

위험이 높은 플랫폼 변경의 경우 Atlas는 가능한 경우 릴리스 노트 및 사전 유지 보수 알림에 지침을 게시합니다.

|service|이 수행하지 않는 작업

Atlas는 다음을 수행하지 않습니다.

• Community 드라이버의 정확성을 테스트하거나 인증하거나 보장하지 않습니다.

• 모든 구성에서 모든 Community 드라이버 테스트

• Community 드라이버 패치, 검토 또는 유지 약속

Community 드라이버는 TLS 협상, 인증, 유선 프로토콜 및 페일오버 동작을 올바르게 구현해야 합니다. MongoDB가 Community 드라이버에 제공하는 모든 기여는 자발적이며, 계약상 의무가 아닙니다.

SLA 커버리지

Atlas SLA는 현재 버전의 공식 지원 MongoDB 드라이버에만 적용됩니다. Community 드라이버 버그 또는 지원되지 않는 드라이버 구성으로 인한 장애는 SLA에 포함되지 않습니다.

전체 SLA 커버리지 및 최고의 지원 경험을 위해 현재 버전의 공식 지원 드라이버 를 사용하세요.