Configurar o TLS (Transport Layer Security)

Visão geral

Neste guia, você aprenderá a usar o TLS protocolo para proteger sua conexão com um sistema do MongoDB .

Ao habilitar o TLS para uma conexão, o driver C++ executa as seguintes ações:

• Usa TLS para se conectar ao MongoDB deployment

• Verifica o certificado do sistema

• Garante que o certificado certifique o sistema

Para saber como configurar seu sistema MongoDB para TLS, consulte o guia de configuração TLS no manual do MongoDB Server .

Habilitar TLS

Para habilitar o TLS para a conexão com sua instância do MongoDB , defina a opção de conexão tls como true em sua string de conexão, conforme mostrado no exemplo a seguir:

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");

Especifique um arquivo CA

Durante a negociação TLS, o sistema do MongoDB apresenta um arquivo de chave de certificado para seu aplicativo para estabelecer sua identidade. Normalmente, o certificado de um sistema é assinado por uma CA conhecida, e seu aplicativo depende dessa CA para validar o certificado.

No entanto, durante os testes, você pode querer agir como sua própria CA. Nesse caso, você deve instruir o driver C++ a usar seus certificados CA em vez dos assinados por outro CA.

Para fazer isso, especifique o caminho para um arquivo .pem contendo a cadeia de certificado raiz. Você pode fazer isso de duas maneiras: definindo uma propriedade em um objeto mongocxx::options::tls ou usando o parâmetro tlsCAFile em sua string de conexão.

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCAFile=/path/to/file.pem");

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.ca_dir("/path/to/search/");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

Verifique a revogação do certificado

Quando um certificado X.509 não é mais confiável - por exemplo, se sua chave privada tiver sido comprometida - a CA revoga o certificado. O driver C++ inclui duas maneiras de verificar se o certificado de um servidor foi revogado.

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsDisableOCSPEndpointCheck=true");

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.crl_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

Apresentar um Certificado de Cliente

Algumas implementações do MongoDB exigem que cada aplicação de conexão apresente um certificado de cliente que comprove sua identidade. Para especificar o certificado do cliente para o driver C++ apresentar, especifique o caminho do arquivo .pem que contém seu certificado e chave privada.

Você pode fazer isso de duas maneiras: definindo uma propriedade em um objeto mongocxx::options::tls ou usando o parâmetro tlsCertificateKeyFile em sua string de conexão.

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/file.pem");

$ cat key.pem cert.pem > combined.pem

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.pem_file("/path/to/file.pem");
tls_options.pem_password("<password>");
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsCertificateKeyFile=/path/to/file.pem&tlsCertificateKeyFilePassword=<password>");

Permitir TLS Inseguro

Quando o TLS está habilitado, o driver C++ verifica automaticamente o certificado apresentado pelo servidor . Ao testar seu código, você pode desativar essa verificação. Isso é conhecido como TLS inseguro.

Quando o TLS inseguro está ativado, o driver exige apenas que o servidor apresente um certificado X.509 . O driver aceita um certificado mesmo que alguma das seguintes afirmações seja verdadeira:

• O nome do host do servidor e o nome do assunto (ou nome alternativo do assunto) no certificado não correspondem.

• O certificado expirou ou ainda não é válido.

• O certificado não tem um certificado raiz confiável na cadeia.

• A finalidade do certificado não é válida para identificação do servidor.

Para habilitar o TLS inseguro, defina a opção de conexão tlsInsecure como true em sua string de conexão, conforme mostrado no exemplo de código a seguir:

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsInsecure=true");

Para desabilitar somente a validação do certificado, defina a opção tlsAllowInvalidCertificates como true e defina a opção tlsInsecure como false (ou omita):

mongocxx::options::client client_options;
mongocxx::options::tls tls_options;
tls_options.allow_invalid_certificates(true);
client_options.tls_opts(tls_options);
mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true");
mongocxx::client client(uri, client_options);

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidCertificates=true");

Para desabilitar somente a verificação do nome de host, configure a opção tlsAllowInvalidHostnames para true e configure a opção tlsInsecure para false (ou omita):

mongocxx::uri uri("mongodb://<hostname>:<port>/?tls=true&tlsAllowInvalidHostnames=true");

Documentação da API

Para saber mais sobre como configurar o TLS para o driver C++ , consulte a seguinte documentação da API:

• mongocxx:: cliente

• mongocxx::uri

• mongocxx::instance

• mongocxx::opções:: cliente

• mongocxx::options::tls