Configurar o TLS (Transport Layer Security)

Visão geral

Neste guia, você pode aprender a usar o protocolo TLS (Transport Layer Security) para proteger sua conexão com uma implantação do MongoDB .

Para se conectar a um sistema do MongoDB usando TLS, você deve executar as seguintes etapas:

• Ative uma conexão TLS no Mongo::Client.

• Especifique o certificado TLS do cliente.

• Especifique o certificado da Autoridade de Certificação (CA) para verificar o certificado TLS do servidor.

Para saber como configurar seu sistema MongoDB para TLS, consulte o guia de configuração TLS no manual do MongoDB Server .

Habilitar TLS

Você pode habilitar o TLS para a conexão com sua deployment do MongoDB das seguintes maneiras:

• Defina a opção ssl como true em um novo objeto Mongo:Client.

• Defina a opção tls como true em sua string de conexão.

client = Mongo::Client.new(["<hostname>:<port>"], 
  ssl: true,
  ssl_cert: 'path/to/client.crt',
  ssl_key: 'path/to/client.key',
  ssl_ca_cert: 'path/to/ca.crt'
)

client = Mongo::Client.new(["<hostname>:<port>"],
  ssl: true,
  ssl_cert: 'path/to/client.pem',
  ssl_key: 'path/to/client.pem',
  ssl_ca_cert: 'path/to/ca.crt',
)

client = Mongo::Client.new(
  "mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=path%2fto%2fclient.pem&tlsCAFile=path%2fto%2fca.crt")

Especificar certificados TLS do cliente

O driver Ruby oferece várias opções para você especificar o certificado TLS, a chave e o certificado CA com diferentes dados ou tipos de objeto .

Modificar o contexto TLS

Se sua configuração do TLS exigir personalização, você poderá definir ganchos de contexto do TLS adicionando um objeto Ruby nativo Proc à array Mongo.tls_context_hooks. Adicione o objeto Proc à array antes de criar quaisquer instâncias do Mongo::Client.

O seguinte exemplo de código habilita a cifra AES256-SHA como a única cifra a ser usada para TLS:

Mongo.tls_context_hooks.push(
  Proc.new { |context|
    context.ciphers = ["AES256-SHA"]
  }
)

As opções de contexto TLS do driver Ruby são baseadas no tratamento nativo de SSL pelo Ruby. Para saber mais sobre as opções de contexto TLS disponíveis, consulte a documentação Ruby para SSLContext.

Verificação do OCSP

Se o certificado fornecido pelo servidor contiver um URI de ponto de extremidade OCSP, o driver emitirá uma solicitação de Protocolo de Status do Certificado Online (OCSP) para o ponto de extremidade especificado por padrão para verificar a validade do certificado.

Para desabilitar a verificação de ponto de extremidade do OCSP, defina a opção :ssl_verify_ocsp_endpoint Ruby como false ou defina a opção tlsDisableOCSPEndpointCheck URI como true ao criar um cliente.

Permitir TLS Inseguro

Quando o TLS está habilitado, o driver Ruby verifica automaticamente o certificado apresentado pelo servidor . Ao testar seu código, você pode desativar essa verificação. Isso é conhecido como TLS inseguro.

Quando o TLS inseguro está ativado, o driver exige apenas que o servidor apresente um certificado X.509 . O driver aceita um certificado mesmo que alguma das seguintes afirmações seja verdadeira:

• O nome do host do servidor e o nome do assunto (ou nome alternativo do assunto) no certificado não correspondem.

• O certificado expirou ou ainda não é válido.

• O certificado não tem um certificado raiz confiável na cadeia.

• A finalidade do certificado não é válida para identificação do servidor.

Para habilitar o TLS inseguro, defina a opção sslVerify do cliente ou a opção tlsInsecure URI como true:

client = Mongo::Client.new(["<hostname>:<port>"],
  ssl: true,
  ssl_verify: false
)

client = Mongo::Client.new('mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true')

Da mesma forma, você pode definir as seguintes opções para desabilitar a verificação do certificado ou do nome do host:

Documentação da API

Para obter mais informações sobre qualquer um dos tipos e métodos discutidos neste guia, consulte a seguinte documentação da API:

• Mongo::Client

• tls_context_hooks