Configurar o TLS (Transport Layer Security)

OpenSSL

O MongoDB C Driver usa OpenSSL em plataformas Linux e Unix (além do macOS). As melhores práticas do setor e alguns regulamentos exigem o uso do TLS 1.1 ou mais recente, que exige pelo menos OpenSSL 1.0.1. Use o seguinte comando para verificar sua versão do OpenSSL:

openssl version

Verifique se o OpenSSL do seu sistema é uma versão recente (pelo menos 1.0.1) ou use o comando a seguir para instalar uma versão recente em um caminho que não seja do sistema e construir com base nele:

cmake -DOPENSSL_ROOT_DIR=/absolute/path/to/openssl

When compiled against OpenSSL, the driver will attempt to load the system default certificate store, as configured by the distribution. That can be overridden by setting the tlsCAFile URI option or with the fields ca_file and ca_dir in the mongoc_ssl_opt_t.

O protocolo de status do certificado online (OCSP) é totalmente suportado ao usar o OpenSSL 1.0.1+. No entanto, quando um crl_file é definido com mongoc_ssl_opt_t e o crl_file revoga o certificado do servidor, o certificado é considerado revogado, mesmo que o certificado tenha uma resposta OCSP grampeada válida.

Suporte nativo a TLS no Windows (canal seguro)

O MongoDB C Driver suporta a biblioteca TLS nativa do Windows (Secure Channel, ou SChannel) e sua biblioteca de criptografia nativa (Cryptografia API: Next Geração, ou CNG).

When compiled against the Windows native libraries, the ca_dir option of a mongoc_ssl_opt_t is not supported and issues an error if used. Encrypted PEM files, set by using the tlsCertificateKeyPassword URI option, are also not supported and issue errors when you attempt to load them.

A opção tlsCertificateKeyFile URI pode referir-se a um certificado codificado no formato PKCS#8 ou PKCS#1. A partir da versão 2.1.0 do driver C, o driver importa a chave privada como uma chave persistente para dar suporte a algoritmos de assinatura modernos. Nas versões anteriores, o driver importava a chave como efêmera. Para saber mais sobre como gerenciar chaves importadas, consulte Gerenciar chaves importadas.

Quando tlsCAFile está definido, o driver importa o arquivo de autoridade de certificação para o armazenamento de certificados System Local Machine Root. Quando nenhum tlsCAFile está definido, o driver procura o arquivo da autoridade de certificação usando o armazenamento de certificados System Local Machine Root para confirmar o certificado fornecido.

When crl_file is set with mongoc_ssl_opt_t, the driver imports the revocation list to the System Local Machine Root certificate store. Setting tlsDisableOCSPEndpointCheck has no effect.

O Protocolo de Status do Certificado Online (OCSP) é parcialmente suportado com as seguintes notas:

• A extensão Must-Staple (consulte RFC 7633) é ignorada.

• A conexão continuará se um certificado Must-Staple for apresentado sem uma resposta grampeada e o respondente OCSP estiver inativo.

• A conexão não continuará se o cliente receber uma resposta revogada de um respondente do OCSP.

• When a crl_file is set with mongoc_ssl_opt_t, and the crl_file revokes the server's certificate, the OCSP response takes precedence. For example, if the server presents a certificate with a valid stapled OCSP response, the certificate is considered valid even if the crl_file marks it as revoked.

$cert = "client.pem"
# Compute the SHA256 fingerprint:
$fingerprint = (openssl x509 -in $cert -noout -fingerprint -sha256) -replace 'SHA256 Fingerprint=', '' -replace ':', ''
if (Select-String -Path $cert -Pattern '-----BEGIN RSA PRIVATE KEY-----' -Quiet) {
    # Key name for PKCS#1 key:
    $key_name = "libmongoc-$fingerprint-pkcs1"
    $csp = "Microsoft Enhanced Cryptographic Provider v1.0"
} elseif (Select-String -Path $cert -Pattern '-----BEGIN PRIVATE KEY-----' -Quiet) {
    # Key name for PKCS#8 key:
    $key_name = "libmongoc-$fingerprint-pkcs8"
    $csp = "Microsoft Software Key Storage Provider"
} else {
    Write-Output "Unexpected PEM format for $cert"
}

certutil -user -csp $csp -key $key_name

certutil -user -csp $csp -key $key_name

Suporte a TLS nativo no macOS / Darwin (transporte seguro)

O MongoDB C Driver é compatível com a biblioteca TLS nativa de Darwin e com o Common Crypto, sua biblioteca de criptografia nativa.

Quando compiladas com Secure Transport, as opções ca_dir e crl_file de um mongoc_ssl_opt_t não são suportadas. Um erro será emitido se qualquer um for usado.

Quando tlsCAFile estiver definido, o driver permitirá somente certificados de servidor emitidos pela autoridade (ou autoridades) fornecida. Quando nenhum tlsCAFile estiver definido, o driver usará as Autoridades de Certificação nos chaveiros desbloqueados.

Configurar tlsDisableOCSPEndpointCheck e tlsDisableCertificateRevocationCheck não tem efeito ao compilar com transporte seguro.

O Protocolo de Status do Certificado Online (OCSP) é parcialmente suportado com as seguintes notas.

• A extensão Must-Staple (consulte RFC 7633) é ignorada

• A conexão continuará se um certificado Must-Staple for apresentado sem uma resposta grampeada e o respondente OCSP estiver inativo

• A conexão não continuará se o cliente receber uma resposta revogada de um respondente OCSP