Configurar o TLS (Transport Layer Security)

Visão geral

Neste guia, você verá como usar o protocolo TLS para proteger sua conexão com um MongoDB deployment. O TLS é um protocolo criptográfico que protege a comunicação entre seu aplicativo e o MongoDB. Para configurar sua conexão para usar TLS, habilite a opção TLS e forneça seus certificados para validação ao criar um cliente.

Quando você habilita o TLS para uma conexão, o driver Scala executa as seguintes ações:

• Usa TLS para se conectar ao MongoDB deployment

• Verifica o certificado do sistema

Para saber como configurar seu sistema MongoDB para TLS, consulte o guia de configuração TLS no manual do MongoDB Server .

Por padrão, o driver suporta conexões TLS/SSL para servidores MongoDB usando o suporte subjacente para TLS/SSL fornecido pelo JDK. Isso pode ser alterado usando a API Netty ou a extensibilidade da API Java SE.

Habilitar TLS

Você pode habilitar o TLS para a conexão com sua deployment do MongoDB das seguintes maneiras:

• Utilize o método enabled() da classe SslSettings.Builder ao criar uma instância do MongoClientSettings

• Defina o parâmetro tls em seu URI de conexão

Selecione a aba MongoClientSettings ou Connection URI para ver o código correspondente que habilita o TLS:

val tlsUri = "mongodb://localhost:27017/"
val tlsSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(tlsUri))
    .applyToSslSettings(builder => builder.enabled(true))
    .build()
val tlsClient1 = MongoClient(tlsSettings)

val tlsClient2 = MongoClient("mongodb://localhost:27017/?tls=true")

Configurar certificados

Os aplicativos Scala que iniciam solicitações TLS exigem acesso a certificados criptográficos que comprovam a identidade do aplicativo e verificam outros aplicativos com os quais o aplicação Scala interage. Você pode configurar o acesso a esses certificados em seu aplicação das seguintes maneiras:

• Use um armazenamento JVM confiável e um armazenamento JVM de chaves

• Usar um armazenamento confiável e um armazenamento de chaves específicos do cliente

keytool -importcert -trustcacerts -file <path to certificate authority file>
      -keystore <path to trust store> -storepass <trust store password>

Desativar verificação de nome de host

Por padrão, o driver garante que o nome de host incluído nos certificados TLS do servidor corresponda aos nomes de host fornecidos ao construir um MongoClient. Você pode desabilitar a verificação de nome de host das seguintes maneiras:

• Utilize o método invalidHostNameAllowed() da classe SslSettings.Builder ao criar uma instância do MongoClientSettings

• Defina o parâmetro tlsAllowInvalidHostnames em seu URI de conexão

Selecione a aba MongoClientSettings ou Connection URI para ver o código correspondente que desabilita a verificação do nome do host:

val invalidHostUri = "mongodb://localhost:27017/"
val invalidHostSettings = MongoClientSettings.builder()
    .applyConnectionString(ConnectionString(invalidHostUri))
    .applyToSslSettings(builder => builder
        .enabled(true)
        .invalidHostNameAllowed(true)
    )
    .build()
val invalidHostClient1 = MongoClient(invalidHostSettings)

val invalidHostClient2 = MongoClient("mongodb://localhost:27017/?tls=true&tlsAllowInvalidHostnames=true")

Restringir conexões ao TLS 1.2

Para restringir seu aplicativo para usar somente o protocolo TLS 1.2 , configure a propriedade do sistema jdk.tls.client.protocols para "TLSv1.2".

Configurar TLS/SSL usando Netty SslContext

Inclua as seguintes declarações de importação:

import io.netty.handler.ssl.SslContextBuilder
import io.netty.handler.ssl.SslProvider
import org.mongodb.scala.connection.TransportSettings

Para instruir o driver a usar io.netty.handler.ssl.SslContext, configure NettyTransportSettings ao definir seu MongoClientSettings.

Utilize MongoClientSettings.Builder.transportSettings() e NettyTransportSettings.Builder.sslContext() para construir suas configurações:

val sslContext = SslContextBuilder.forClient()
  .sslProvider(SslProvider.OPENSSL)
  .build()
val nettySettings = MongoClientSettings.builder()
  .applyToSslSettings {
    builder => builder.enabled(true)
  }
  .transportSettings(
    TransportSettings.nettyBuilder()
      .sslContext(sslContext)
      .build()
  )
  .build()
val mongoClient = MongoClient(nettySettings);

Personalizar configuração com SSLContext

Se sua configuração do TLS exigir personalização, você poderá definir a propriedade sslContext do seu objeto MongoClient. Passe um objeto SSLContext para o construtor de método context() no bloco applyToSslSettings(), conforme mostrado no código a seguir:

val sslContext = SSLContext.getDefault()
val contextSettings = MongoClientSettings.builder()
    .applyToSslSettings(builder => builder
        .enabled(true)
        .context(sslContext)
    )
    .build()
val mongoClient = MongoClient(contextSettings);

Para mais informações sobre a classe SSLContext, consulte a documentação API para Contexto SSL.

Protocolo de status do certificado online (OCSP)

OCSP é um padrão usado para verificar se os certificados X.509 foram revogados. Uma autoridade de certificação (CA) pode adicionar um certificado X.509 à Lista de revogação de certificados (CRL) antes do tempo de expiração para invalidar o certificado. Quando um cliente envia um certificado X.509 durante o handshake TLS, o servidor de revogação da CA verifica a CRL e retorna um status de good, revoked ou unknown.

O condutor suporta as seguintes variações de OCSP:

• OCSP orientado ao cliente

• Grampeamento de OCLC

As seções a seguir descrevem essas variações e mostram como habilitá-las para seu aplicação.

Documentação da API

Para obter mais informações sobre qualquer um dos tipos discutidos neste guia, consulte a seguinte documentação da API:

• ConnectionString

• Configurações do Mongo Client