Setelah sukses membahas cara menghubungkan EJBCA 6.3.1.1 yang berjalan di atas CentOS 7 dengan HSM PCIE di postingan ini, sekarang saya mau membagikan cara untuk melakukan instalasi EJBCA 6.10.1.2 di atas CentOS 7 yang terhubung dengan HSM Luna 7.

Sejak versi EJBCA di atas versi 6.4.0, kita tidak lagi bisa menggunakan JBoss 7.1.1 sebagai web-servernya dan OpenJDK-7 sebagai Java Environment-nya. Sebagai gantinya, kita bisa menggunakan WildFly 10.0.0 dan juga OpenJDK-8.

Berikut ini beberapa hal yang perlu kalian persiapkan untuk mencoba tutorial kali ini:

Alat dan Bahan

1. EJBCA 6.10.1.2 → Download DI SINI
2. WildFly 10.0.0. Final → Download DI SINI
3. Software Client & SDK Safenet HSM v7.0.0 → Download DI SINI
4. MariaDB 10.2 (Stable) → Cara install DI SINI
5. MariaDB Java Client 2.1.0 → Download DI SINI
6. OpenJDK 8
7. JCE Policy 8 → Download DI SINI

Spek Server yang Digunakan

1. RAM = 2 GB
2. CPUs = 4
3. Harddisk = 50 GB

IP Server

• CentOS 7 : 192.168.1.12
• HSM LUNA 7: 192.168.1.2

Tahap Awal

NTLs & Membuat partisi pada HSM

Sebelum masuk ke dalam EJBCA 6.10.1.2, terlebih dahulu kita harus menghubungkan CentOS 7 dengan HSM Luna 7 melalui Network Trust Links. Untuk menciptakan koneksi tersebut, Silahkan liat tutorialnya DI SINI.

Konfigurasi SafeNet Chrystoki

Untuk menghubungkan HSM dengan OS, terlebih dahulu kita harus mengubah sedikit konfigurasi yang ada pada /etc/Chrystoki.conf agar nantinya Luna 7 dapat berkomunikasi dengan OS.

Beberapa hal yang perlu diubah adalah:

• Library LibUNIX64 untuk Chrystoki2 dan libshim
• Penambahan Application Instance
• Penambahan OneBaseSlotId

Ubah file /etc/Chrystoki.conf dan tambahkan konfigurasi berikut:

Chrystoki2 = {
LibUNIX64 =/usr/safenet/lunaclient/lib/libCryptoki2_64.so ;
}

Shim2 = {
LibUNIX64 =/usr/safenet/lunaclient/lib/libshim.so;
}

Misc = { 
ApplicationInstance=SA5_COMPATIBILITY;
FunctionBindLevel=2; 
ProtectedAuthenticationPathFlagStatus = 1;
}

Di bagian paling bawah, tambahkan:

}
Presentation = {
OneBaseSlotId =1;
}

Pengaturan FQDN

Pertama kali yang dilakukan adalah Setting FQDN-nya terlebih dahulu, caranya:

vi /etc/hosts

Konfigurasi Firewall

EJBCA 6.10.1.2 menggunakan port 8080, 8442, 8443 untuk servis CA. Yang lainnya merupakan port internal (3306 untuk MySQL, 9990 untuk JBoss Admin, dll). Kita tidak perlu mengubah port tersebut pada aplikasi EJBCA 6.10.1.2 nya secara langsung.

Jika kita mau menggunakan port standar yang digunakan WEB, silahkan atur Port Forwarding pada iptables. Kita bisa melakukannya dengan cara:

vi /etc/sysconfig/iptables

kemudian masukkan:

#### Start Iptables ####

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [34:14652]
-A INPUT -p tcp -m tcp –dport 8008 -j ACCEPT
-A INPUT -p tcp -m tcp –dport 4447 -j ACCEPT
-A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -p tcp -m state –state NEW -m tcp –dport 8080 -m mark –mark 0x64 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 80 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 8080 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 8443 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 8442 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 443 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 22 -j ACCEPT
-A INPUT -j REJECT –reject-with icmp-host-prohibited
-A FORWARD -j REJECT –reject-with icmp-host-prohibited
COMMIT

*nat
:PREROUTING ACCEPT [1928198:538190860]
:POSTROUTING ACCEPT [239877:14576705]
:OUTPUT ACCEPT [239877:14576705]
-A PREROUTING -i eth0 -p tcp -m tcp –dport 80 -m mark –mark 0x64 -j DNAT –to-destination :8080
COMMIT

*mangle
:PREROUTING ACCEPT [5793867:3540661671]
:INPUT ACCEPT [5504145:3514609021]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4546890:3055306048]
:POSTROUTING ACCEPT [4546890:3055306048]
-A PREROUTING -i eth0 -p tcp -m tcp –dport 80 -j MARK –set-xmark 0x64/0xffffffff
COMMIT

 Setelah melakuan konfigurasi, untuk mengaktifkan iptables tersebut maka lakukan perintah berikut:

sh -c 'iptables-restore -t < /etc/sysconfig/iptables'

Instalasi beberapa paket

Seperti namanya EJBCA (Enterprise Java Bean Certification Authority), maka kita membutuhkan java agar software ini dapat running. Versi OpenJDK yang harus diinstal adalah versi 8. Caranya:

yum -y install java-1.8.0-openjdk java-1.8.0-openjdk-devel

Setelah selesai melakukan instalasi openjdk-8, tahapan selanjutnya adalah memilih java-1.8.0 tadi sebagai default. Caranya:

alternatives --config java

dan untuk lebih memastikan agar kita tidak salah memilih versi java yang akan kita gunakan, jalankan perintah:

java -version

Setelah itu, kita akan sedikit me-replace beberapa file yang ada di /usr/lib/jvm/java-1.8.0-openjdk/jre/lib/security. 2 file yang harus di replace adalah local_policy.jar dan US_export_policy.jar.

Bagaimana cara me-replace-nya?

1. Download JCE pada link yang sudah saya sertakan di atas.
2. Setelah berhasil di download, ekstrak file tersebut dan kamu akan menemukan sebuah folder bernama jce_policy-8. Cara ekstraknya adalah seperti berikut:

   cd /home/user/Downloads
   unzip jce_policy-8.zip

3. Setelah berhasil di ekstrak, copy-kan 2 file yang sudah saya sebutkan di atas ke dalam folder /usr/lib/jvm/java-1.8.0-openjdk/jre/lib/security. Caranya:

   cp jce_policy-8/UnlimitedJCEPolicyJDK8/local_policy.jar /usr/lib/jvm/java-1.8.0-openjdk/jre/lib/security
   cp jce_policy-8/UnlimitedJCEPolicyJDK8/US_export_policy.jar /usr/lib/jvm/java-1.8.0-openjdk/jre/lib/security
   

Berikutnya kita akan meng-install beberapa paket tambahan yaitu ant, ant-antlr, dan unzip. Caranya:

yum install ant ant-antlr unzip

Instalasi dan Konfigurasi MariaDB

Tahap berikutnya kita harus melakukan instalasi database kemudian konfigurasi. Konfigurasi yang saya lakukan disini hanyalah konfigurasi biasa tanpa security yang cukup baik (hanya untuk keperluan percobaan). Untuk kalian yang ingin mengimplementasikannya di production, pastikan mengamankan direktori mysql dan meng-update /etc/mysql/my.cnf sebelum menjalankan service database. Konfigurasi ini juga menggunakan utf-8 encoding yang menjadi syarat dari EJBCA 6.10.1.2. Mari kita mulai instalasinya terlebih dahulu:

Untuk melakukan instalasi mariaDB 10.2 (stable) pada CentOS 7. Tambahkan dulu repositorinya dengan cara:

# MariaDB 10.2 CentOS repository list - created 2017-11-24 07:32 UTC # http://downloads.mariadb.org/mariadb/repositories/  [mariadb]  name = MariaDB  baseurl = http://yum.mariadb.org/10.2/centos7-amd64  gpgkey= https://yum.mariadb.org/RPM-GPG-KEY-MariaDB  gpgcheck=1

Setelah itu update paket CentOS dan install MariaDB 10.2. Caranya:

yum update
yum install MariaDB-server MariaDB-client

Setelah MariaDB selesai terinstal, tahap selanjutnya adalah mengubah beberapa konfigurasi yang ada pada my.cnf. Salah satunya adalah menambahkan binlog_format=row. Kalau menggunakan MariaDB, kemungkinan servicenya menolak untuk berjalan karena InnoDB tidak bisa memproses log binary-nya. Tambahkan binlog_format=row seperti konfigurasi di bawah untuk memecahkan masalah tersebut. Tambahkan juga beberapa item lain yang belum ada di my.cnf  kalian ya.

vi /etc/mysql/my.cnf

[client]
 port                    = 3306
 socket                  = /var/run/mysqld/mysqld.sock
 default-character-set   = utf8

[mysqld]
 user                    = mysql
 socket                  = /var/run/mysqld/mysqld.sock
 port                    = 3306
 basedir                 = /usr
 datadir                 = /var/lib/mysql
 tmpdir                  = /tmp
 lc_messages_dir         = /usr/share/mysql
 lc_messages             = en_US
 skip-external-locking

#UTF-8
 character-set-server    = utf8
 collation-server        = utf8_unicode_ci
 init-connect            = 'SET NAMES utf8'

bind-address             = 127.0.0.1
#Binary Logging
 log_bin                 = /var/log/mysql/mariadb-bin
 log_bin_index           = /var/log/mysql/mariadb-bin.index
 binlog_format           = ROW
 expire_logs_days        = 10
 max_binlog_size         = 100M
 server-id               = 1
 slow_query_log_file     = /var/log/mysql/mariadb-slow.log
 long_query_time         = 10

Setelah beres, jangan lupa untuk mengubah kepemilikan my.cnf tersebut menjadi milik mysql. caranya:

sudo chown mysql:mysql /etc/mysql/my.cnf

Pada konfigurasi my.cnf di atas, kita memasukkan lokasi untuk meletakkan log. Untuk mengamankan log tersebut (karena log tersebut mengandung data sertifikat kita), maka kita harus mengatur izin yang terbatas soal siapa yang bisa mengaksesnya. Caranya:

chown -R mysql:mysql /var/log/mysql
chmod -R 750 /var/log/mysql/

Setelah MariaDB terinstall dan konfigurasi dilakukan, tahap selanjutnya adalah me-restart service database dan membuat database untuk EJBCA 6.10.1.2 dan juga sebuah user untuk mengakses database EJBCA 6.10.1.2 tersebut (jangan menggunakan user root untuk EJBCA 6.10.1.2 dalam mengakses database-nya). Caranya:

service mysql restart

mysql -u root -p
create database <nama_db> CHARACTER SET utf8 COLLATE utf8_general_ci;

; grant all privileges on <nama_db>.* to '<user>'@'<ip>' identified by '<password>'; flush privileges; exit

Kalau sudah, lakukan verifikasi dengan cara login dengan menggunakan user yang baru saja kita buat tadi dan test aksesnya. Caranya:

mysql -u <user_db> -p
use <db_ejbca>;
show grants for '<user_db>@'<ip>';
exit

Pada bagian akhir, restart service database tersebut dengan perintah:

service mysql restart

*Jika kita tidak mengatur charset menjadi utf8, EJBCA 6.10.1.2 kemungkinan tidak akan bisa berjalan karena ada limitasi index jika menggunakan charset ‘utf8mb4’ pada beberapa konfigurasi MariaDB/MySQL. Hasilnya hal tersebut akan memberikan error berupa ‘Specified key was too long; max key length is 767 bytes’.

Membuat Struktur Direktori

Sekarang kita akan membuat struktur direktori dari aplikasi itu sendiri. Saya memutuskan untuk meletakkan aplikasi-aplikasi yang saya butuhkan pada /opt. Secara default, Semua dokumentasi EJBCA mengasumsikan kita melakukan instalasi pada home direktori. Namun saya lebih senang untuk menggunakan simbolik link agar lebih mudah.

• /opt saya gunakan untuk meletakkan semua file sehingga kita bisa dengan mudah menghapusnya dan memulai lagi dari awal.
• Download WildFly 10.0.0 dan EJBCA 6.10.1.2 dengan wget (link ada di “alat & bahan”) dan letakkan pada /opt.

Setelah semua file terdownload (dalam bentuk zip), lalu ekstrak dan buat beberapa link sebagai shortcut untuk menuju folder tersebut. Caranya:

sudo unzip wildfly-10.0.0.Final.zip
sudo unzip ejbca_ce_6_10_1_2.zip
sudo ln -s /opt/ejbca_ce_6_10_1_2 ejbca
sudo ln -s /opt/wildfly-10.0.0.0.Final jboss

lalu masukkan perintah berikut:

export JAVA_HOME=/usr/lib/jvm/java-1.8.0-openjdk/
export PATH=$JAVA_HOME/bin:$PATH
export JBOSS_HOME=/opt/jboss
export PATH=$PATH:$JBOSS_HOME/bin:$PATH
export APPSRV_HOME=/opt/jboss
export PATH=$JBOSS_HOME/bin:$PATH
export EJBCA_HOME=/opt/ejbca
export PATH=$EJBCA_HOME/bin:$PATH
export CLASSPATH=$JAVA_HOME/jre/lib/ext:$CLASSPATH

Menambahkan Akun User untuk OS

Sekarang kita akan membuat akun untuk service ejbca. Ada 2 akun yang akan dibuat di sini, yang pertama akun sistem dengan nama jboss dan yang kedua adalah akun ejbca untuk keperluan administratif setelah server ini dibuat.

Sangat penting jboss memiliki /bin/bash dalam sebuah shell dan sebuah /opt/jboss sebagai home directory.

useradd ­s /bin/bash -­r -­d /opt/jboss ­-M -­U jboss
useradd -­m -­U -­G jboss,wheel ejbca

Instalasi Wildfly 10.0.0.Final

Untuk meng-compile EJBCA 6.10.1.2, terlebih dahulu kita harus menginstall Wildfly versi 10.0.0.Final (OpenJDK 8 diperlukan di sini).

Wildfly sedikit berbeda dengan JBoss. Untuk Wildfly, deploy dan install tidak secara otomatis membuat application server kita terkonfigurasi. Oleh sebab itu, kita perlu melakukan beberapa konfigurasi terlebih dahulu.

Menambahkan Database Driver ke dalam Wildfly

Kita akan melakukan hot-deploying pada penambahan driver database kali ini yaitu dengan memasukkannya secara langsung ke dalam direktori deployment. Driver tersebut akan diambil dan di deploy secara otomatis ketika Wildfly dijalankan.

Untuk mempermudah, kita akan meng-copy file driver tersebut dan mengubah namanya menjadi baru, tanpa ada embel-embel versi drivernya. Caranya:

cp mariadb-java-client-2.1.0.jar /opt/jboss/standalone/deployments/mariadb-java-client.jar
ls

• /opt/jboss/ merupakan sebuah link yang saya buat untuk /opt/wildfly-10.0.0.final
• Link driver database sudah saya sertakan di awal tutorial. 

Konfigurasi Wildfly Instance (Standalone)

Pertama, kita akan melakukan konfigurasi Instance yang nanti akan digunakan oleh EJBCA 6.10.1.2. Namanya “standalone”, dan hadir secara default dalam Wildfly 10.0.0.Final

Pada direktori /opt/jboss/bin terdapat sebuah script yang bernama standalone.sh yang merupakan titik utama dari Wildfly. Script ini memberi referensi pada sebuah file konfigurasi yang terletak pada folder yang sama bernama standalone.conf. Kita tidak akan memodifikasi script startup-nya, tapi kita perlu untuk memodifikasi file konfigurasinya.

Sebagai langkah awal, kita akan mem-backup file konfigurasi defaultnya terlebih dahulu. Caranya:

cd /opt/jboss/bin
cp standalone.conf standalone.conf.bak

File konfigurasi tersebut juga berisi satu set option JVM yang nantinya akan kita ubah sedikit. Ini bukanlah perubahan yang wajib, tapi perubahan tersebut dapat mengalokasikan memori lebih pada JVM.

• Ada beberapa entri yang dinonaktifkan, namun yang penting di sini adalah JAVA_HOME dan JAVA_OPTS.

Secara default, direktori JAVA_HOME belum di set dan JAVA_OPTS hanya mengizinkan penggunaan memori sebesar 512Mib. Ubah kedua parameter tersebut menjadi seperti berikut:

vi standalone.conf

JAVA_HOME=/usr/lib/jvm/java-1.8.0-openjdk
JAVA_OPTS="-Xms2048m -Xmx2048m -Djava.net.preferIPv4Stack=true"

Starting Wildfly

Beberapa tweak harus kita lakukan setelah Wildfly berjalan. Karena beberapa perintah di atas ada yang dijalankan sebagai root, kita akan membuat user jboss menjadi owner dari folder wildfly yang sudah kita extract.

• Jangan jalankan perintah “chown -R root:root /opt/jboss” – kita ingin agar root tetap menjadi pemilik dari Symbolic link.

Maka jalankan perintah berikut:

chown -R jboss:jboss /opt/wildfly-10.0.0.Final

Sekarang dengan user jboss, kita akan mengeksekusi file standalone.sh yang berada pada folder jboss. Langkah-langkahnya adalah sebagai berikut:

cd /opt/jboss/bin
nohup ./standalone.sh -b 0.0.0.0 -bmanagement=0.0.0.0 &

• “&” digunakan agar jboss tetap berjalan saat kita keluar dari terminal.
• “-b” adalah opsi untuk menentukan jboss.bind.address.
• “0.0.0.0” berarti dapat diakses dari IP manapun.

dari log diatas dapat dihasilkan beberapa poin, yaitu:

• JBoss Admin Page dapat diakses dari IP manapun melalui browser.
• alamat default URL untuk JBoss Admin tersebut adalah http://<ip atau domain>:9990/console/App.html
• Ketika kita melihat proses ini pada log  → “started xxx of xxx services”  , maka JBoss sudah berjalan.

Konfigurasi User Admin untuk Wildfly Web

apabila kita mengakses console Wildfly via web pada tahap ini melalui http://<ip atau domain>:9990 maka yang tampil adalah seperti berikut:

Hal itu disebabkan oleh belum adanya admin User yang dibuat untuk mengakses console tersebut. Untuk itu kita perlu membuatnya. Caranya:

cd /opt/jboss/bin
sh add-user.sh

Maka akan muncul pertanyaan seperti berikut:

What type of user do you wish to add?
 a) Management User (mgmt-users.properties)
 b) Application User (application-users.properties)
(a):

Enter the details of the new user to add.
Using realm 'ManagementRealm' as discovered from the existing property files.
Username : xxxx
Password recommendations are listed below. To modify these restrictions edit the add-user.properties configuration file.
 - The password should be different from the username
 - The password should not be one of the following restricted values {root, admin, administrator}
 - The password should contain at least 8 characters, 1 alphabetic character(s), 1 digit(s), 1 non-alphanumeric symbol(s)
Password :
WFLYDM0101: Password should have at least 1 digit.
Are you sure you want to use the password entered yes/no? yes
Re-enter Password :
What groups do you want this user to belong to? (Please enter a comma separated list, or leave blank for none)[ ]:
About to add user 'jadmin' for realm 'ManagementRealm'
Is this correct yes/no? yes
Added user 'xxxx' to file '/opt/wildfly-10.0.0.Final/standalone/configuration/mgmt-users.properties'
Added user 'xxxx' to file '/opt/wildfly-10.0.0.Final/domain/configuration/mgmt-users.properties'
Added user 'xxxx' with groups to file '/opt/wildfly-10.0.0.Final/standalone/configuration/mgmt-groups.properties'
Added user 'xxxx' with groups to file '/opt/wildfly-10.0.0.Final/domain/configuration/mgmt-groups.properties'
Is this new user going to be used for one AS process to connect to another AS process?
e.g. for a slave host controller connecting to the master or for a Remoting connection for server to server EJB calls.
yes/no? no

• “What type of user do you wish to add?” → isi dengan “a”
• “Realm” → enter saja.
• “username” → Isi dengan username yang kalian mau.
• “Password” → Isi dengan password yang kalian mau.
• “Re-Enter Password” → Ulangi kembali dengan password yang sama.
• “is this correct” → pilih “yes”
• “is this new user going to …..” → pilih “no”

Pada saat ini seharusnya kita sudah bisa mengakses interface dari Wildfly Web Console dan mengganti beberapa item. Namun pada saat ini kita belum perlu untuk mengganti apapun:

• Ini adalah user spesifik untuk JBoss yang tidak digunakan dimanapun.
• Ini adalah tahapan yang bagus untuk mengambil snapshot vm.

Sekarang mari kita coba user tersebut. caranya masuk ke browser dan ketikkan http://<ip atau domain>:9990/console/App.html. Maka akan muncul tampilan seperti berikut:

Masukkan username dan password sesuai dengan yang baru saja kita input. Apabila benar maka akan muncul tampilan seperti berikut:

Menambahkan Data Source

Sekarang service Wildfly sudah berjalan, kini kita bisa menambahkan data source. Kita akan melakukan ini melalui CLI-nya JBoss, yang akan mengupdate konfigurasi yang berada pada file Standalone.xml. Sebelum melakukan perubahan maka ada baiknya kita membackup konfigurasi awal terlebih dahulu. Caranya (masih dengan user jboss):

cd /opt/jboss/standalone/configuration
cp standalone.xml standalone.xml.bak

Sekarang kita akan menuju JBoss CLI dan melakukan beberapa perubahan. Caranya:

cd /opt/jboss/bin
sh jboss-cli.sh
connect

Lalu jalankan perintah berikut:

data-source add --name=ejbcads --driver-name="mariadb-java-client.jar" --connection-url="jdbc:mysql://127.0.0.1:3306/ejbca" --jndi-name="java:/EjbcaDS" --use-ccm=true --driver-class="org.mariadb.jdbc.Driver" --user-name="ejbca" --password="ejbca" --validate-on-match=true --background-validation=false --prepared-statements-cache-size=50 --share-prepared-statements=true --min-pool-size=5 --max-pool-size=150 --pool-prefill=true --transaction-isolation=TRANSACTION_READ_COMMITTED --check-valid-connection-sql="select 1;"
:reload

Setelah perintah tersebut dieksekusi maka hasil keluarannya adalah “Success” (seperti pada gambar di bawah).

Hal yang kita lakukan pada CLI ini mendefinisikan driver mariadb dan koneksi yang ada pada /opt/jboss/standalone/configuration/standalone.xml, kemudian me-reload JBoss.

Hasilnya akan terlihat pada standalone.xml seperti gambar berikut:

Sebagai bukti lagi kalau connector tersebut sudah masuk, kita akan melihat pada log yang tertera di file nohup.out yang ada pada folder /opt/jboss/bin. Namun sebelumnya kita harus me-restart service wildfly yang sedang berjalan. Caranya:

cd /opt/jboss/bin
ps -ax | grep jboss
kill <nomor pada ps-ax>
nohup ./standalone.sh -b 0.0.0.0 -bmanagement=0.0.0.0 &
tail -100f nohup.out

Ketika kalian menemukan mariadb.jdbc.driver, maka datasource tersebut sudah dapat dipastikan masuk.

Datasource Password

Untuk mengamankan password yang ada pada ejbcads di atas agar tidak plain text pada saat ditampilkan di /opt/jboss/standalone/configuration/standalone.xml (Guna meningkatkan keamanan sistem), Jalankan perintah berikut:

• Ganti PASSWORDLO dengan password database di atas.

java -cp /opt/jboss/modules/system/layers/base/org/picketbox/main/picketbox-4.9.4.Final.jar:/opt/jboss/modules/system/layers/base/org/jboss/logging/main/jboss-logging-3.3.0.Final.jar:$CLASSPATH org.picketbox.datasource.security.SecureIdentityLoginModule PASSWORDLO

• copy dan paste encoded password di atas ke file standalone.xml:

vi /opt/jboss/standalone/configuration/standalone.xml

• Paste segmen berikut pada segmen security-domains (dengan mengganti PASSWORDLO_ENC menjadi encoded password yang kita dapatkan dari perintah di atas dan USERLO dengan user untuk terkoneksi ke database)

<security-domain name="EjbcaDsEncryptedPassword">
 <authentication>
 <login-module code="SecureIdentity" flag="required">
 <module-option name="username" value="USERLO"/>
 <module-option name="password" value="PASSWORDLO_ENC"/>
 </login-module>
 </authentication>
</security-domain>

• Lihat bagian EjbcaDs datasource dan ganti segmen security (dimana PASSWORDLO adalah password lama dalam bentuk plain text):

<security>
 <user-name>USERLO</user-name>
 <password>PASSWORDLO</password>
</security>

• Dengan bentuk berikut:

<security>
 <security-domain>EjbcaDsEncryptedPassword</security-domain>
</security>

Restart kembali JBOSS

cd /opt/jboss/bin 
ps -ax | grep jboss kill <nomor pada ps-ax> 
nohup ./standalone.sh -b 0.0.0.0 -bmanagement=0.0.0.0 & 
tail -100f nohup.out

Konfigurasi WildFly Remoting

EJBCA 6.10.1.2 perlu menggunakan JBOSS Remoting untuk EJBCA CLI agar bisa bekerja. Nah, kita akan mengkonfigurasi JBOSS Remoting tersebut. Kita akan menggunakan port yang berbeda dan memulainya dengan menghapus konfigurasi yang dulu pernah ada. Caranya:

cd /opt/jboss/bin
sh jboss-cli.sh 
connect

/subsystem=remoting/http-connector=http-remoting-connector:remove
/subsystem=remoting/http-connector=http-remoting-connector:add(connector-ref="remoting",security-realm="ApplicationRealm")
/socket-binding-group=standard-sockets/socket-binding=remoting:add(port="4447")
/subsystem=undertow/server=default-server/http-listener=remoting:add(socket-binding=remoting)
:reload

#SafeNet Luna 
name = Luna 
library = /usr/safenet/lunaclient/lib/libCryptoki2_64.so 
description = Luna config 
slot = 1 
attributes(*, CKO_PUBLIC_KEY, *) = {
 CKA_TOKEN = false
 CKA_ENCRYPT = true
 CKA_VERIFY = true
 CKA_WRAP = true
}
attributes(*, CKO_PRIVATE_KEY, *) = {
 CKA_TOKEN = true
 CKA_PRIVATE = true
 CKA_SENSITIVE = true
 CKA_EXTRACTABLE = false
 CKA_DECRYPT = true
 CKA_SIGN = true
 CKA_UNWRAP = true
 CKA_DERIVE = false
}
disabledMechanisms = {
 CKM_SHA1_RSA_PKCS
 CKM_SHA256_RSA_PKCS
 CKM_SHA384_RSA_PKCS
 CKM_SHA512_RSA_PKCS
 CKM_MD2_RSA_PKCS
 CKM_MD5_RSA_PKCS
 CKM_DSA_SHA1
 CKM_ECDSA_SHA1
}

• Modifikasi file java.security untuk memasukkan PKCS11. Buka file java.security dan lakukan perubahan berikut:
  Untuk Java 8:
  # vi $JAVA_HOME/jre/lib/security/java.security
  

security.provider.1=sun.security.provider.Sun
security.provider.2=sun.security.rsa.SunRsaSign
security.provider.3=sun.security.ec.SunEC
security.provider.4=com.sun.net.ssl.internal.ssl.Provider
security.provider.5=com.sun.crypto.provider.SunJCE
security.provider.6=sun.security.jgss.SunProvider
security.provider.7=com.sun.security.sasl.Provider
security.provider.8=org.jcp.xml.dsig.internal.dom.XMLDSigRI
security.provider.9=sun.security.smartcardio.SunPCSC
security.provider.10=sun.security.pkcs11.SunPKCS11 /usr/lib/jvm/java-1.8.0-openjdk/jre/lib/security/luna.cfg

Generate Keys Untuk EJBCA 6.10.1.2

Tool yang berada pada $EJBCA_HOME/dist/clientToolBox/ejbcaClientToolBox.sh digunakan untuk administratif dan men-generate keys. Lakukan beberapa langkah berikut untuk men-generate keys pada SafeNet Luna HSM dengan menggunakan PKCS11:

cd $EJBCA_HOME
ant clientToolBox
cd dist/clientToolBox/
sh ejbcaClientToolBox.sh PKCS11HSMKeyTool generate /usr/safenet/lunaclient/lib/libCryptoki2_64.so 2048 signKey 1
sh ejbcaClientToolBox.sh PKCS11HSMKeyTool generate /usr/safenet/lunaclient/lib/libCryptoki2_64.so 2048 defaultKey 1
sh ejbcaClientToolBox.sh PKCS11HSMKeyTool generate /usr/safenet/lunaclient/lib/libCryptoki2_64.so 2048 testKey 1

Ketika mengeksekusi setiap perintah di atas, maka kita akan diminta untuk memasukkan password dari token hitam yang sudah kita set sebelumnya di tahapan awal. Masukkan Password dari partisi SafeNet Luna HSM dan tunggu hingga keys ter-generate. Kunci-kunci ini yang akan digunakan untuk membuat inisial Admin CA, ROOT CA, dan Server CA.

Instalasi EJBCA 6.10.1.2

Sebelum kita melanjutkan, kalian perlu tahu bahwa konfigurasi awal EJBCA 6.10.1.2 dapat dibagi kedalam beberapa bagian yaitu:

• file-file .properties yang ada dalam folder /opt/ejbca/conf
• file keystore awal yang terdapat pada folder /opt/ejbca/p12
• config JBoss di standalone.xml

Kalian juga perlu tahu bahwa beberapa aturan umum untuk bekerja dengan konfigurasi EJBCA 6.10.1.2, diantaranya:

• Pertama, anggap bahwa tidak akan ada konfigurasi yang berubah selama proses deploy dan hanya file ejbca.ear yang tersentuh dalam aksi kali ini.
• Database mariaDB akan terisi secara otomatis saat pertama kali kita melakukan proses deploy, tapi sebaliknya tidak akan tersentuh oleh script ant apapun.
• Database tidak akan menyimpan data konfigurasi apapun, tetapi akan berpengaruh jika ada perubahan pada konfigurasi yang kita buat.
• Perintah ant.install mencoba untuk membuat file keystore setiap kali perintah tersebut dijalankan, meskipun file-file tersebut ada.
• porsi dari standalone.xml dapat diubah baik oleh ant build atau ant install, tetapi hal tersebut hanya menanggapi perubahan yang kita buat pada file *.properties.
• Setelah instalasi awal selesai, ant tidak akan mengubah standalone.xml kecuali  kita telah mengubah sebuah file .properties.

File Properties pada EJBCA 6.10.1.2

EJBCA 6.10.1.2 menggunakan text biasa pada file “.properties” untuk konfigurasi utamanya. File-file ini akan menjadi rujukan ketika kita meng-compile ejbca.ear dengan perintah ant, dan tidak menjadi referensi oleh aplikasi yang sedang berjalan.

• file install.properties hanya digunakan ketika menjalankan perintah ant install, dan bukan saat menjalankan ant deployear.
• Beberapa file sebenarnya berisi paremeter yang menyediakan parsing runtime dari variabel-variabel pada file properties tersebut, tetapi fungsi ini di non-aktifkan secara default.

Pertama, EJBCA memiliki beberapa contoh dari semua file properties yang ada pada direktori /opt/ejbca/conf. Yang kita butuhkan adalah:

Properties	Penjelasan
catoken.properties	mendefinisikan nama key, password dan alias untuk HSM. file ini digunakan ketika menambahkan HSM ketika melakukan 'ant install'
certstore.properties	mendefinisikan variabel penyimpanan sertifikat
cesecore.properties	mendefinisikan variabel core security engine
crlstore.properties	mendefinisikan variabel penyimpanan CRL
database.properties	mendefinisikan bagaimana EJBCA akan mengakses database
extendedkeyusage.properties	mendefinisikan oid dan nama dari oid tersebut
ejbca.properties	mendefinisikan variabel basic untuk EJBCA itu sendiri
install.properties	digunakan oleh "ant install" selama instalasi
mail.properties	mendefinisikan bagaiman EJBCA SMTP connector akan berfungsi
ocsp.properties	mendefinisikan bagaimana OCSP itu akan bekerja
va.properties	mendefinisikan bagaimana validation authority akan bekerja
va-publisher.properties	mendefinisikan bagaimana validation authority akan mengakses database
web.properties	mendefinisikan variabel untuk web interface EJBCA

Ada beberapa file jndi.* dalam folder conf tersebut. Mereka dibutuhkan, namun tidak akan diotak-atik lebih jauh, dan bisa diabaikan saja. Ada juga 2 folder lainnya yaitu logdevices dan plugins, yang bisa diabaikan juga.

Pertama, kita akan membuat direktori baru yang disebut /opt/ejbca/conf/sample dan memindahkan semua file .sample ke dalam folder tersebut untuk tujuan backup. Caranya:

cd /opt/ejbca/conf
mkdir sample
mv *.sample sample/

Lalu kemudian kita akan meng-copy beberapa file yang dibutuhkan ke direktori utamanya. Caranya:

cp sample/certstore.properties.sample certstore.properties
cp sample/catoken.properties.sample catoken.properties
cp sample/cesecore.properties.sample cesecore.properties
cp sample/crlstore.properties.sample crlstore.properties
cp sample/database.properties.sample database.properties
cp sample/ejbca.properties.sample ejbca.properties
cp sample/install.properties.sample install.properties
cp sample/mail.properties.sample mail.properties
cp sample/web.properties.sample web.properties

Kita akan mengkonfigurasi file-file ini kemudian menguji coba instalasinya sebelum melakukan tindakan. Dengan hanya file di atas tersebut maka EJBCA 6.10.1.2 akan beroperasi tanpa Validation Authority.

Mari kita mulai:

catoken.properties

#### Start catoken.properties ###

# Ini merupakan kombinasi dari CA dan CryptoToken Properties yang nanti ada di Admin-GUI

# Common for all HSM are:
# * certSignKey – the key to be used when signing certificates, can be RSA or ECDSA.
# * crlSignKey – the key to be used when signing CLSs, can be RSA or ECDSA.
# * keyEncryptKey – the key to be used for key encryption and decryption, this must be an RSA key.
# * testKey – the key to be used by HSM status checks, can be RSA or ECDSA.
# * hardTokenEncrypt – the key to be used for hardtoken encryption and decryption. PUK will be decrypted by this key.
# * defaultKey – the key to be used when no other key is defined for a purpose. If this is the only definition then this key will be used for all purposes.
#

# Utimaco HSM Crypto Token example:
#sharedLibrary /opt/utimaco/p11/libcs2_pkcs11.so
#slotLabelType=SLOT_NUMBER
#slotLabelValue=1

sharedLibrary /usr/safenet/lunaclient/lib/libCryptoki2_64.so #library dari safenet
slotLabelType=SLOT_NUMBER
slotLabelValue=1 #slot partisi yang digunakan
pin=P@ssw0rd #password yang di set pada partisi

# CA key configuration
#defaultKey defaultRoot
#certSignKey signRoot
#crlSignKey signRoot
#testKey testRoot

defaultKey defaultKey
certSignKey signKey
crlSignKey signKey
testKey testKey

### End catoken.properties ###

certstore.properties

### Start certstore.properties ###

# ———— RFC 4387 Certificate store configuration ———————
certstore.enabled=true

# This is the web directory that the web interface for the cert store will use. 

# This is an unused alternate location
certstore.contextroot=/ejbca/publicweb/certificates

### End certstore.properties ###

ant deploy-keystore

Menghapus TLS dan Konfigurasi HTTP yang Sudah Ada

Jalankan perintah berikut pada JBOSS CLI untuk menhapus konfigurasi TLS dan HTTP yang sudah ada (hanya untuk keamanan).

/subsystem=undertow/server=default-server/http-listener=default:remove
/subsystem=undertow/server=default-server/https-listener=https:remove
/socket-binding-group=standard-sockets/socket-binding=http:remove
/socket-binding-group=standard-sockets/socket-binding=https:remove
:reload

Tunggu proses reload hingga benar-benar selesai dengan memeriksa log server sebelum melanjutkan ke proses selanjutnya.

Konfigure TLS

Jalankan perintah berikut pada JBOSS CLI (jboss-cli.sh -c) untuk mengatur konfigurasi TLS.

Tambahkan interfaces, gunakan 0.0.0.0 agar bisa diakses dari luar:

/interface=http:add(inet-address="0.0.0.0")
/interface=httpspub:add(inet-address="0.0.0.0")
/interface=httpspriv:add(inet-address="0.0.0.0")
/socket-binding-group=standard-sockets/socket-binding=http:add(port="8080",interface="http")
/subsystem=undertow/server=default-server/http-listener=http:add(socket-binding=http)
/subsystem=undertow/server=default-server/http-listener=http:write-attribute(name=redirect-socket, value="httpspriv")
:reload

Tunggu proses reload hingga benar-benar selesai dengan memeriksa log server sebelum melanjutkan ke proses selanjutnya.

Konfigur identities dan socket bindings:

update keystore alias agar cocok dengan httpsserver.hostname yang ada pada web.properties. Jangan lupa juga untuk update keystore-password untuk keystore.jks agar cocok dengan httpsserver.password dan keystore-password untuk trustore.jks agar cocok dengan java.trustore pada web.properties:

 *pastikan kalau password pada sesi ini sesuai. Kalau tidak, maka proses akan gagal. Untuk kalian yang melakukannya pada production, password harus benar-benar diganti ke password yang sesuai.

/core-service=management/security-realm=SSLRealm:add()
/core-service=management/security-realm=SSLRealm/server-identity=ssl:add(keystore-path="${jboss.server.config.dir}/keystore/keystore.jks", keystore-password="serverpwd", alias="localhost")
/core-service=management/security-realm=SSLRealm/authentication=truststore:add(keystore-path="${jboss.server.config.dir}/keystore/truststore.jks", keystore-password="changeit")
/socket-binding-group=standard-sockets/socket-binding=httpspriv:add(port="8443",interface="httpspriv")
/socket-binding-group=standard-sockets/socket-binding=httpspub:add(port="8442", interface="httpspub")

Restart Wildfly sampai benar-benar berjalan kembali. Periksa log untuk benar-benar memastikannya

Setelah me-restart Wildfly, sekarang jalankan perintah berikut:

/subsystem=undertow/server=default-server/https-listener=httpspriv:add(socket-binding=httpspriv, security-realm="SSLRealm", verify-client=REQUIRED)
/subsystem=undertow/server=default-server/https-listener=httpspriv:write-attribute(name=max-parameters, value="2048")
/subsystem=undertow/server=default-server/https-listener=httpspub:add(socket-binding=httpspub, security-realm="SSLRealm")
/subsystem=undertow/server=default-server/https-listener=httpspub:write-attribute(name=max-parameters, value="2048")
:reload

Untuk finalisasi, jalankan perintah berikut:

/system-property=org.apache.tomcat.util.buf.UDecoder.ALLOW_ENCODED_SLASH:add(value=true)
/system-property=org.apache.catalina.connector.CoyoteAdapter.ALLOW_BACKSLASH:add(value=true)
/system-property=org.apache.catalina.connector.URI_ENCODING:add(value="UTF-8")
/system-property=org.apache.catalina.connector.USE_BODY_ENCODING_FOR_QUERY_STRING:add(value=true)
/subsystem=webservices:write-attribute(name=wsdl-host, value=jbossws.undefined.host)
/subsystem=webservices:write-attribute(name=modify-wsdl-address, value=true)
:reload

*Jika kamu menggunakan OCSP GET request, maka pengaturan URI Encoding dan mengizinkan encoding untuk query dan backslash sangat diperlukan.

Lebih Detail soal Ant

Kenapa kita melakukan ant deploy sebelum melakukan ant install? ada dua alasannya:

• untuk menguji file ejbca.ear sukses di-compile dari apa yang sudah kita bangun sejauh ini. Menjalankan ant deploy sambil membaca log memberikan kita sebuah kesempatan untuk memperbaiki kesalahan sebelum lanjut ke tahap selanjutnya. Setelah instalasi komplit, akan jauh lebih sulit untuk memperbaiki kesalahan-kesalahan yang terjadi pada konfigurasi.
• yang lebih penting lagi, file ejbca.ear haruslah ada sebelum file install dapat dieksekusi.

Memang perlu meluangkan waktu sedikit untuk menggambarkan dengan lebih detil apa saja yang dilakukan oleh beragam perintah ant dan belajar beberapa hal yang baru. Mempelajari ant akan sangat berguna ketika memperbaiki beberapa kendala yang terjadi saat instalasi.

• Seperti yang kita tau, skrip ant deploy membuat beberapa file sementara yang digunakan untuk meng-compile ejbca.ear, meng-compile ejbca.ear, dan kemudian mendorong jboss untuk mendeploy-nya. Ada dua fungsi yang berbeda di sini yaitu:
  pertama, ant menjalankan build yang melakukan persiapan dan kompilasi.
  kedua, ant menggunakan jboss jee.deploy untuk melakukan transfer ke jboss.
• proses build dapat dipanggil dengan menggunakan perintah ant build. namun perintah ant deploymenjalankan keduanya, build dan deploy.
• skrip ant install mengambil file konfigurasi kita, menggunakan informasi tersebut untuk menciptakan konfigurasi yang lebih jauh lagi (seperti file keystore), dan meng-copy file-file baru tersebut ke lokasi-lokasi yang lebih tepat. Bermacam perubahan pada jboss juga dibuat oleh skrip ini. dan full deployment harus dijalankan secara manual setelah instalasi selesai.
  Sebuah skrip terpisah untuk instalasi dibutuhkan untuk memisahkan hal yang dilakukan hanya sekali (seperti mengenerate keystore) dari hal yang dilakukan berulang-ulang saat deployment. Kita tidak perlu membangun ulang setiap kali kita ingin deploy.
• perintah ant clean akan menghapus file-file temporary (sementara) yang dihasilkan saat deployment sebelumnya yang mungkin secara tidak sengaja masih ada atau tertinggal. Menghapus file-file temporary tersebut dapat membantu memecahkan error-error yang muncul saat deployment.
• jika kalian tetap menerima error selama deployment setelah melakukan ant clean, kalian boleh mencoba sebuah perintah yng sudah usang: ant bootstrap. Secara teori, semua fungsi ant bootstrap sekarang dijalankan oleh ant deploy.

Semua perintah harus dieksekusi oleh user jboss.

Keystore

Keystore menyimpan sertifikat yang digunakan oleh EJBCA 6.10.1.2 untuk mengamankan web portal, tidak lebih. Keberadaan mereka selama instalasi membuat mereka sangat penting, tetapi mereka memiliki sedikit relevansi dengan fungsi “Certificate Authority” dari EJBCA 6.10.1.2.

• Mereka tidak digunakan untuk menyimpan kunci dan sertifikat yang dihasilkan oleh EJBCA setelah aplikasi ini live di production –  informasi tersebut disimpan di dalam database.
• pada sebuah instalasi yang terdistribusi, mereka mempunyai peran penting dalam autentikasi lintas server (cross-server).

ketika skrip install berjalan, skrip tersebut akan melakukan bermacam operasi sampai akhirnya membawa kita untuk memasukkan beberapa password yang digunakan untuk file-file keystore. File-file keystore tersebut berada di /opt/ejbca/p12 dan mereka adalah:

• tomcat. jks → Menyimpan sertifikat yang digunakan jboss untuk mengamankan web portal EJBCA 6.10.1.2 dengan TLS.
• trustore.jks → menyimpan sebuah copy dari key root CA yang mengeluarkan sertifikat TLS.

Setelah pembuatan, file-file ini di-copy oleh script install tersebut ke /opt/jboss/standalone/configuration/keystore, dan file tomcat.jks di rename menjadi keystore.jksdi direktori baru.

Penting untuk dimengerti bahwa ketika ant membuat keystore di /opt/ejbca/p12, jboss menggunakan keystore yang berada pada /opt/jboss/standalone/configuration/keystore untuk TLS.

• file superadmin.p12 yang berisi sertifikat klien yang digunakan untuk mengautentikasi akun administrator juga berada di /opt/ejbca/p12. file ini tidak di copy ke direktori jboss seperti keystore lainnya.

Java tool yang digunakan untuk mengatur keystore disebut keytool, dan (saat instalasi) keytool tersebut dipanggil oleh sebuah link pada /usr/bin. Melalui alternatives, link ini diarahkan ke /usr/lib/jvm/java-1.8.0-openjdk-amd64/bin/keytool. Untuk mencegah terjadinya beberapa masalah yang mungkin muncul (karena menggunakan enkripsi EC), gunakan enkripsi RSA untuk keystore kita. seperti contoh di atas.

Seperti telah disebutkan tadi, ant install menghasilkan copy awal dari keystore yang didasarkan pada konfigurasi kita di install.properties dan web.properties. Tergantung dari bagaimana kita mengkonfigurasi file-file tersebut, kalau kita banyak mengisi informasi pada kedua file tersebut, maka kita tidak akan diminta untuk menginput lagi pada saat ant install dijalankan.

Pengujian

Untuk membuktikan apakah instalasi sudah berjalan dengan benar, caranya adalah masuk ke browser dan ketikkan alamat berikut:

http://<ip atau domain>:8080

Maka akan muncul halaman berikut:

dan untuk masuk ke halaman EJBCA-nya, tambahkan /ejbca setelah port tersebut. maka akan tampil halaman berikut:

Notes:

Tulisan ini merupakan hasil pengujian dari blog ejbcacentos dengan melakukan beberapa modifikasi sesuai dengan kebutuhan dan juga mengambil beberapa konfigurasi dari SINI.