TLS(전송 계층 보안) 구성

OCSP

온라인 인증서 상태 프로토콜(OCSP)을 사용하여 서버 인증서의 유효성을 검사하려면 다음 예와 같이 ocsp 옵션을 사용하여 PyMongo를 설치해야 합니다.

python -m pip install pymongo[ocsp]

인증서 유효성 검사 프로세스는 연결하려는 MongoDB Server의 버전에 따라 다릅니다.

• MongoDB v4.4 이상: 서버가 타임스탬프가 지정된 OCSP 응답을 인증서에 스테이플링합니다. PyMongo는 OCSP 응답을 기준으로 인증서의 유효성을 검사합니다. CA가 인증서를 해지했거나 OCSP 응답이 유효하지 않은 경우 TLS 핸드셰이크가 실패합니다.

• MongoDB v4.3 이하 버전: 서버가 PyMongo가 직접 연결하는 OCSP 엔드포인트를 제공합니다. 그런 다음 PyMongo는 OCSP 응답과 비교하여 인증서의 유효성을 검사합니다. CA가 인증서를 해지하지 않은 경우 OCSP 응답이 유효하지 않거나 잘못된 경우에도 TLS 핸드셰이크가 계속됩니다.

PyMongo가 OCSP 엔드포인트에 연결하는 것을 중지하려면 tlsDisableOCSPEndpointCheck 연결 옵션을 True 로 설정합니다. MongoClient 생성자에 인수를 전달하거나 연결 string 의 매개변수를 사용하는 두 가지 방법으로 이 작업을 수행할 수 있습니다.

인증서 해지 목록

OCSP를 사용하는 대신 PyMongo에 서버의 인증서를 CA에서 게시한 인증서 해지 목록(CRL)과 비교하여 확인하도록 지시할 수 있습니다. 이렇게 하려면 tlsCRLFile 연결 옵션을 사용하여 CA에서 .pem 또는 .der 파일의 경로를 지정합니다. MongoClient 생성자에 인수를 전달하거나 연결 string 의 매개변수를 사용하는 두 가지 방법으로 이 작업을 수행할 수 있습니다.

키 비밀번호 제공

인증서 파일의 비공개 키가 암호화된 경우 비밀번호를 제공해야 합니다. 이렇게 하려면 tlsCertificateKeyFilePassword 연결 옵션을 사용하여 암호화된 비공개 키의 비밀번호 또는 암호를 지정합니다. MongoClient 생성자에 인수를 전달하거나 연결 string 의 매개변수를 사용하는 두 가지 방법으로 이 작업을 수행할 수 있습니다.

CAERTIFICATE_VERIFY_FAILED

다음과 유사한 오류 메시지는 OpenSSL이 서버의 인증서를 확인할 수 없음을 의미합니다.

[SSL: CERTIFICATE_VERIFY_FAILED] certificate verify failed

이는 OpenSSL이 시스템의 루트 인증서에 액세스할 수 없거나 인증서가 최신 버전이 아니기 때문에 자주 발생합니다.

Linux를 사용하는 경우 Linux 공급업체로부터 최신 루트 인증서 업데이트를 설치했는지 확인합니다.

macOS를 사용하고 python.org에서 다운로드한 Python v3.7 이상을 실행하는 경우, 다음 명령을 실행하여 루트 인증서를 설치합니다.

open "/Applications/Python <YOUR PYTHON VERSION>/Install Certificates.command"

이식 가능한 pypy를 사용하는 경우 환경 변수를 설정하여 OpenSSL에 루트 인증서를 찾을 수 있는 위치를 알려야 할 수 있습니다. 다음 코드 예시에서는 certifi 모듈 을 설치하는 방법을 보여줍니다. PyPi에서 SSL_CERT_FILE 환경 변수를 내보냅니다.

$ pypy -m pip install certifi
$ export SSL_CERT_FILE=$(pypy -c "import certifi; print(certifi.where())")

TLSV1_ALERT_PROTOCOL_VERSION

다음과 유사한 오류 메시지는 Python에서 사용하는 OpenSSL 버전이 서버에 연결할 수 있을 만큼 새로운 TLS 프로토콜을 지원하지 않음을 의미합니다.

[SSL: TLSV1_ALERT_PROTOCOL_VERSION] tlsv1 alert protocol version

업계 모범 사례는 일부 MongoDB 배포에서 이전 TLS 프로토콜을 비활성화할 것을 권장하며 일부 규정에서는 요구하고 있습니다. 일부 배포는 TLS 1.0 을 비활성화할 수 있고, 다른 배포는 TLS 1.0 및 TLS 1.1 을 비활성화할 수 있습니다.

PyMongo가 최신 TLS 버전을 사용하기 위해 애플리케이션을 변경할 필요는 없지만, 일부 운영 체제 버전은 이를 지원할 만큼 새로운 OpenSSL 버전을 제공하지 않을 수 있습니다.

macOS v10.12 을 사용하는 경우 (High Sierra) 이하 버전인 경우, python.org에서 Python을 설치합니다. 홈브루, macports 또는 유사한 소스.

Linux 또는 macOS가 아닌 다른 Unix를 사용하는 경우 다음 명령을 사용하여 OpenSSL 버전을 확인합니다.

$ openssl version

앞의 명령이 1.0.1 보다 작은 버전 번호를 표시하는 경우, TLS 1.1 이상에 대한 지원은 제공되지 않습니다. 최신 버전으로 업그레이드하거나 OS 공급업체에 솔루션을 문의하세요.

Python 인터프리터의 TLS 버전을 확인하려면 requests 모듈을 설치하고 다음 코드를 실행합니다.

python -c "import requests; print(requests.get('https://www.howsmyssl.com/a/check', verify=False).json()['tls_version'])"

TLS 1.1 이상이 표시됩니다.

잘못된 상태 응답

다음과 유사한 오류 메시지는 인증서 해지 확인에 실패했음을 의미합니다.

[('SSL routines', 'tls_process_initial_server_flight', 'invalid status response')]

자세한 내용은 이 가이드의 OCSP 섹션을 참조하세요.

SSLV3_ALERT_HANDSHAKE_FAILURE

Python v3.10 이상을 v4.0 이전의 MongoDB 버전과 함께 사용하는 경우, 다음 메시지와 유사한 오류가 표시될 수 있습니다.

SSL handshake failed: localhost:27017: [SSL: SSLV3_ALERT_HANDSHAKE_FAILURE] sslv3 alert handshake failure (_ssl.c:997)
SSL handshake failed: localhost:27017: EOF occurred in violation of protocol (_ssl.c:997)

MongoDB Server 로그에 다음 오류가 표시될 수도 있습니다.

2021-06-30T21:22:44.917+0100 E NETWORK  [conn16] SSL: error:1408A0C1:SSL routines:ssl3_get_client_hello:no shared cipher

Python v 의 ssl 모듈에 대한 변경 사항3.10 v4 이전의 MongoDB 버전과 호환되지 않을 수 있습니다.0. 이 문제를 해결하려면 다음 단계 중 하나 이상을 시도해 보세요.

• Python을 v3.9 이하 버전으로 다운그레이드

• MongoDB Server를 v4.2 이상으로 업그레이드

• PyOpenSSL을 사용하는 OCSP 옵션을 사용하여 PyMongo를 설치합니다.