Desenvolvendo o MongoDB localmente com TLS

Cadeias de certificados autoassinadas para TLS local

Em ambientes de produção, os servidores MongoDB usam certificados assinados por autoridades de certificação confiáveis, ou CAs. Para desenvolvimento local, você pode usar qualquer uma das seguintes opções:

• Certificados CA comerciais ou públicos: se você registrou um nome de domínio, poderá obter um certificado de uma autoridade de certificação reconhecida.

• Certificados de CA empresariais: se a sua organização mantém uma autoridade de certificação privada como EJBCA ou MinyCert, você pode solicitar certificados através do seu departamento de T.I.

• Certificados CA gratuitos: se você tiver um nome de domínio registrado, serviços como o Let's Encrypt fornecem certificados assinados por autoridades de certificação gratuitos.

• Certificados autoassinados: para ambientes de desenvolvimento local isolados, as cadeias de certificados autoassinados fornecem uma solução prática quando outras opções não estão disponíveis.

Você pode implementar a cadeia de certificados autoassinados para sistemas locais do MongoDB usando as etapas a seguir. Ao criar sua própria autoridade de certificação e certificados de servidor , você pode simular conexões criptografadas por TLS sem a necessidade de serviços externos.

Certificados de servidor em comunicações TLS

Em comunicações seguras, os certificados de servidor comprovam a identidade do servidor para conectar clientes, evitando ataques man-in-the-middle e facilitam a troca segura de chaves para comunicações criptografadas.

Em um handshake TLS típico, o cliente verifica o certificado do servidor verificando se:

• O certificado é assinado por uma autoridade de certificação confiável

• O certificado é válido, não expirou ou revogou

• O nome do servidor no certificado corresponde ao servidor ao qual está sendo conectado

O cliente aceita certificados CA raiz e intermediário somente se eles estiverem presentes no armazenamento confiável local do cliente. Para certificados emitidos corretamente, somente a autoridade emitida pode acessar a chave privada do certificado raiz, nunca com o servidor.

# Creating self-signed CA cert and SAN cert for localhost
# aka mdbinstance.mydevelopment.net
#=====================================================================================
openssl req -x509 -nodes -sha256 -days 1825 -newkey rsa:4096 \
 -keyout rootCA.key -out rootCA.crt -subj="/CN=ca.mydevelopment.net"
openssl req -newkey rsa:4096 -keyout server.key -nodes \
 -out domain.csr -subj "/CN=server.mydevelopment.net"
openssl req -x509 -nodes -CA rootCA.crt -CAkey rootCA.key -in domain.csr \
 -out mdbinstance.mydevelopment.net.crt -days 3560 -nodes \
 -subj '/CN=<mdbinstance_mydevelopment_net>' -extensions san -config <( \
   echo '[req]'; \
   echo 'distinguished_name=req'; \
   echo '[san]'; \
   echo 'subjectAltName=DNS:localhost,DNS:mdbinstance.mydevelopment.net')
cat rootCA.key rootCA.crt >rootCAcombined.pem
cat server.key mdbinstance.mydevelopment.net.crt >serverCert.pem

Configuração TLS do MongoDB Server

Após gerar seus certificados, configure seu servidor MongoDB para utilizá-los. A configuração abaixo mostra a seção net do arquivo mongod.conf, com foco nas configurações do TLS.

# network interfaces
net:
  port: 27017
  bindIp: 0.0.0.0  # Binds to all network interfaces - use only in secure networks
  tls:
    mode: requireTLS  # Forces all connections to use TLS
    certificateKeyFile: /path/to/serverCert.pem  # Server certificate with private key
    CAFile: /path/to/rootCAcombined.pem  # CA certificate with private key

A configuração acima inclui:

• port: Porta MongoDB padrão 27017

• bindIp: defina como 0.0.0.0 para permitir conexões de qualquer endereço IP, apropriado somente para ambientes de desenvolvimento em redes privadas seguras

• tls.mode: defina como requireTLS para garantir que todas as conexões usem criptografia TLS

• certificateKeyFile: Caminho para o certificado do servidor com sua chave privada

• CAFile: Caminho para o certificado da CA com sua chave privada

Depois de atualizar o arquivo de configuração, reinicie seu servidor MongoDB para aplicar as configurações do TLS. Sua instância do MongoDB exige TLS para todas as conexões.

Conectando ao MongoDB com TLS

Os exemplos a seguir demonstram como estabelecer conexões com seu servidor MongoDB configurado para TLS.

mongosh --tls --tlsCAFile /path/to/rootCA.crt --tlsCertificateKeyFile \
/path/to/serverCert.pem 'mongodb://userid:password@hostname.domain'

mongodb://userid:password@hostname.domain/?directConnection=true&tls=true&tlsCAFile=%2Fpath%2Fto%2FrootCA.crt&tlsCertificateKeyFile=%2Fpath%2Fto%2Fserver_certificate.pem

$mongodb_client = new MongoDB\Client($mongodb_uri,
   [
      'tls' => true,  # Enable TLS for the connection
      'tlsCAFile' => $mongodb_ca_cert_path,  # Path to your CA certificate
      'tlsCertificateKeyFile' => $mongodb_cert_path  # Path to your client certificate
   ]
);

Para todos os clientes, você precisa fornecer:

1. A opção de habilitar o TLS

2. O caminho para o certificado da CA para confiar no servidor

3. Opcionalmente, para TLS mútuo, o caminho para um certificado de cliente

Testar sua conexão confirma se a configuração do TLS está funcionando corretamente. Se a conexão for bem-sucedida, sua implantação do MongoDB estará protegida com criptografia TLS.

Uso de Autoridades de Certificação Confiáveis

Embora os certificados autoassinados funcionem para desenvolvimento, os ambientes de produção devem usar certificados de autoridades de certificação confiáveis. Se você tiver um nome de domínio registrado, o Let's Encrypt oferece certificados gratuitos que são amplamente confiáveis.

Ao usar certificados de CAs reconhecidas, certifique-se de que os certificados raiz e intermediários da CAs façam parte do armazenamento confiável do sistema operacional no servidor e nos clientes.

Em implantações de produção com certificados confiáveis, defina as configurações do servidor MongoDB usando o seguinte código:

net:
   tls:
      mode: requireTLS
      certificateKeyFile: /etc/ssl/mongodb.pem  # Your trusted certificate with private key

Na configuração anterior, o mongodb.pem contém o certificado do seu servidor, assinado por um CA confiável e sua chave privada. Como a CA já é confiável pelo sistema operacional, você não precisa especificar o parâmetro CAFile.

Para obter mais detalhes sobre como configurar o MongoDB com certificados confiáveis, consulte Configurar mongod e mongos para TLS/SSL.