Certificate Revocation List merupakan sebuah daftar dari Sertifikat Digital yang sudah dicabut (revoked) oleh si penerbit Sertifikat Digital (Certification Authority), dimana setelah dicabut maka sertifikat tersebut sudah tidak lagi bisa dipercaya.

Bisa dibilang CRL adalah daftar sertifikat yang di-blacklist dan daftar tersebut digunakan oleh banyak endpoint, termasuk browser, untuk memverifikasi apakah sebuah sertifikat masih valid dan dapat dipercaya.

baca juga: Instalasi EJBCA 6.10.1.2 dengan HSM Luna 7 pada CentOS 7

Dalam EJBCA, salah satu software yang digunakan untuk membuat sebuah CA, CRL tidak dibuat secara otomatis. Meskipun tidak dibuat secara otomatis, bukan berarti hal tersebut tidak bisa diotomatisasi proses penerbitannya.

Ada 2 cara pada EJBCA untuk men-generate-nya secara otomatis. Yang pertama adalah melalui GUI dan yang kedua adalah CLI. Keduanya sama saja dan tergantung kenyamanan dari user mau menggunakannya yang mana.

CRL pada EJBCA

Untuk melihat berapa banyak CRL yang sudah dikeluarkan, kita bisa masuk ke halaman Administration dan mengarahkannya ke CA Functions→CA Structure & CRLs lalu lihat pada bagian Number yang ada di Latest CRL. Itulah total yang sudah dikeluarkan.

Untuk membuat secara manual, kita bisa menekan tombol CREATE CRL.

Auto Generate via GUI

1. Masuk ke bagian Services yang ada pada System Functions.
2. Pada bagian Add Service, masukkan nama service yang kita inginkan lalu tekan tombol Add.

   

3. Pilih Service yang baru ditambahkan tersebut, kemudian Edit Service.

   

4. Pada bagian Select Worker, pilih CRL Updater.
   Pada bagian CAs to check, pilih CA yang ingin diupdate CRL-nya secara berkala.
   Pada Select Interval, pilih Periodic Interval.
   Pada Period, masukkan periode yang kalian inginkan.
   Centang bagian Active.
   Pada bagian Pin to Specific Node(s), masukan hostname dari CA.
   Kemudian pilih Save.

   

Auto Generate via CLI

CRL bisa dihasilkan dengan menggunakan perintah basic yaitu dengan syntax:

sh bin/ejbca.sh ca createcrl <Nama_CA>

Jumlah CLI yang sudah di generate pada GUI sama dengan yang ada pada CLIUntuk membuatnya secara otomatis, maka kita bisa menambahkan cronjob . Gunakan perintah:

crontab -e

Contoh cronjob-nya seperti berikut:

SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
CLASSPATH=$CLASSPATH:/root/ejbca
APPSRV_HOME=/usr/local/jboss
# m h dom mon dow command
00 0    * * *   cd /root/ejbca;./bin/ejbca.sh ca createcrl RootCA2

Download CRL

Untuk mendownload, ada 3 cara yaitu melalui halaman publik, melalui halaman admin dan yang terakhir melalui CLI.

Jika memilih untuk mendownload dari halaman publik, kita hanya perlu masuk ke halaman EJBCA→Fetch CA CRL dan kemudian memilih format yang ingin di download. Apakah ingin download dalam bentuk PEM, DER atau Direct Import ke Browser.

Jika memilih untuk mendownload dari halaman admin, kita hanya perlu masuk ke Administration dan mengarahkannya ke CA Functions→CA Structure & CRLs lalu menekan tombol GetCRL yang ada di sebelah Number.

Jika memilih untuk mendownload via CLI, maka perintah yang digunakan adalah:

sh bin/ejbca.sh ca getcrl --caname <nama_ca> -f <lokasi dan nama file>

baca juga:  8 Tips Traveling ala Detik Travel yang Bisa Kalian Coba

****

Itu tadi tutorial singkat yang bisa saya bagikan. Semoga informasi di atas dapat membantu ya.

Sampai jumpa di tutorial berikutnya

The post Auto Generate CRL pada EJBCA 6.3.1.1 first appeared on GoBlog.

CRL Updater

Fungsi Service ini adalah untuk mengupdate CRL yang sudah dipublished dalam sebuah frekuensi tertentu. Cara mengaktifkannya:

1. Pilih Services → Tulis Nama untuk Service yang akan dibuat → Add → Nama untuk Service tersebut akan muncul pada kolom “List of Services”

   

   Ingat bahwa service tersebut sudah berhasil dibuat, hanya saja statusnya masih inactive.

2. Untuk mengaktifkannya maka pilih Nama Service yang baru kita buat tersebut → Edit Services.

   

3. Setelah itu kita akan tiba pada halaman Edit Services.
   

   

   Pengaturan:
   

   No.	Opsi	Pilihan	Penjelasan
   1	Select Worker	CRL Updater	Service untuk mengupdate CRL
   2	CAs to Check	RootCA2 dan Real Root CA	CA yang kita pilih untuk diupdate secara otomatis
   3	Select Interval	Periodic Interval	Cuma itu pilihannya jadi ya pilih itu aja ya
   4	Period	5 Hours	Periode peng-update-an. bisa diatur berdasarkan detik, menit, jam atau hari.
   5	Select Action	No Action	Cuma itu pilihannya jadi ya pilih itu aja ya
   6	Active	Centang Activenya	Untuk mengaktifkan service tersebut.
   7	Pin To Specific Node	Nama Node Kita	Node yang dituju
   8	Description	Service untuk mengupdate CRL	Boleh diisi atau dikosongkan. bagusnya diberi penjelasan ini service apa

4. Setelah menekan Tombol Save maka kita akan kembali ke halaman “List of Services” dan kini Update CRL sudah berubah statusnya dari inactive menjadi active.
   

   

5. Untuk memantau apakah Service ini berjalan dengan benar, Setiap 5 jam (Seperti waktu yang sudah diatur di atas) maka kita bisa masuk ke halaman home kemudian perhatikan bagian CRL Status. Apabila yang muncul lambang “Green Check” maka proses otomatisasi sudah berjalan dengan benar.

   

Certificate Expiration Checker

Service ini berfungsi untuk memberikan alert apabila ada sertifikat yang akan segera habis masa berlakunya. Alert tersebut akan dikirimkan baik kepada administrator ataupun kepada user yang sertifikatnya akan segera habis masa berlakunya. Dan berikut ini adalah pengaturannya:

1. Pilih Services → Tulis Nama untuk Service yang akan dibuat → Add → Nama untuk Service tersebut akan muncul pada kolom “List of Services”

   

2. Untuk mengaktifkannya maka pilih Nama Service yang baru kita buat tersebut → Edit Services.

   

3. Setelah itu kita akan tiba pada halaman Edit Services.
   

   

   

   Pengaturan:
   

   No.	Opsi	Pilihan	Penjelasan
   1	Select Worker	Certificate Expiration Checker	Service untuk memeriksa sertifikat yang akan habis masa berlakunya
   2	CAs to Check	RootCA2 dan Real Root CA	CA yang kita pilih untuk diperiksa
   3	Certificates Profile to check	ROOTCA, Sertifikat untuk TLS, SERVER, SUBCA	Certificate profile yang akan diperiksa juga masa berlakunya
   3	Time Before notification is sent	30 days	Waktu yang dipilih untuk mengirim notifikasi kepada user yang masa berlaku sertifikatnya akan habis. ada beberapa opsi. kita bisa memilih berdasarkan detik, menit, jam atau hari.
   4	Send Notification to End User	Checked Use	Notifikasi akan dikirim ke email user. Email tersebut didapat dari informasi yang dimasukkan dalam End Entity Data.
   5	Notification subject to end user	Sertifikat akan habis masa berakunya	merupakan judul pesan yang akan dikirim kepada user yang masa berlaku sertifikatnya akan habis
   6	End User Message	blaaa... blaa... blaaa... blaa... blaaa...	Isi dari pesan yang intinya adalah memperingatkan user kalau sertifikatnya akan segera habis dan meminta user tersebut untuk memperpanjang sertifikatnya
   7	Send Notification to Administrator	Checked Use	Mengirimkan pesan juga kepada administrator kalau ada user yang sertifikatnya akan habis
   8	Notification subject to administrator	Sertifikat yang akan habis masa berlakunya	merupakan judul pesan yang akan dikirim kepada administrator mengenai user yang masa berlaku sertifikatnya akan habis
   9	Administrator Message	blaaa... blaaa.. blaaa...	Isi dari pesan yang intinya adalah memberi tahu sang administrator kalau ada user yang sertifikatnya akan habis masa berlakunya
   10	Select Interval	Periodic Interval	Secara periodik
   11	Period	5 hours	periode ini bisa diatur berdasarkan detik, menit, jam dan hari. Tergantung keinginan kita
   12	Select Action	Mail Notification	Pemberitahuan via Email
   13	Sender Address	apapa@emailmu.com	email pengirimnya
   14	Receiver Address	apapa@emailmu.com	Email pribadi yang akan menerima email ini juga
   15	Active	Check Active	Untuk mengaktifkan servis tersebut
   16	Pin to Specific Node	Nama Node Kita	Node Yang dituju
   17	Description	Service untuk memeriksa masa kadaluarsa suatu sertifikat	boleh diisi atau dikosongkan. bagusnya diberi penjelasan ini service apa

4. Setelah menekan Tombol Save maka kita akan kembali ke halaman “List of Services” dan kini Certificate Expiration Checker sudah berubah statusnya dari inactive menjadi active.
   

   

User Password Expire

Autentikasi user secara default untuk pendaftaran di EJBCA adalah dengan menggunakan skema Password sekali pakai (One Time Password). Ketika user sudah mendownload sertifikat maka statusnya akan berubah menjadi GENERATED. Kalau hanya mengajukan pembuatan sertifikat namun belum mendownload sertifikat tersebut pasca pembuatan maka statusnya hanya NEW. Ketika sudah di download maka password tersebut tidak lagi bisa dipakai untuk membuat sertifikat baru (karena statusnya sudah berubah dari new → Generated). Sang Administrator harus mengubah status user tersebut dan lebih bagusnya passwordnya juga diubah.

Jika seorang user lupa password (One Time Password-nya) maka itu secara otomatis akan di-disable. Dan service ini akan sangat berguna apabila digabungkan dengan “Maximum Number of Failed Login Attempts” ketika mendaftarkan user. (pengaturannya ada di End Entity Profile). jadi ketika

Jadi service ini akan memberikan notifikasi email kepada user kalau passwordnya sudah kadaluarsa dan tindakan apa yang perlu dia lakukan untuk memperbarui password tersebut. Cara mengaktifkannya:

1. Pilih Services → Tulis Nama untuk Service yang akan dibuat → Add → Nama untuk Service tersebut akan muncul pada kolom “List of Services”

   

2. Untuk mengaktifkannya maka pilih Nama Service yang baru kita buat tersebut → Edit Services.

   

3. Setelah itu kita akan tiba pada halaman Edit Services.
   

   

   

   

   Pengaturan:

   No.	Opsi	Pilihan	Penjelasan
   1	Select Worker	User Password Expire Service	Service untuk memeriksa Password user yang sudah kadaluarsa
   2	CAs to Check	RootCA2 dan Real Root CA	CA yang kita pilih untuk diperiksa
   3	Time until user password expire	2 Days	Waktu yang diberikan hingga password expired. Waktu bisa berupa detik, menit, jam ataupun hari.
   4	Send Notification to End User	Checked Use	Notifikasi akan dikirim ke email user. Email tersebut didapat dari informasi yang dimasukkan dalam End Entity Data.
   5	Notification subject to end user	Password Expired	merupakan judul pesan yang akan dikirim kepada user yang masa berlaku passwordnya habis
   6	End User Message	blaaa... blaa... blaaa... blaa... blaaa...	Isi dari pesan yang intinya adalah memperingatkan user kalau passwordnya sudah kadaluarsa dan meminta user tersebut untuk menghubungi RA Admin
   7	Send Notification to Administrator	Checked Use	Mengirimkan pesan juga kepada administrator kalau ada user yang passwordnya sudah expired
   8	Notification subject to administrator	User yang passwordnya expired	merupakan judul pesan yang akan dikirim kepada administrator mengenai user yang passwordnya sudah kadaluarsa.
   9	Administrator Message	blaaa... blaaa.. blaaa...	Isi dari pesan yang intinya adalah memberi tahu sang administrator kalau ada user yang passwordnya sudah expired
   10	Select Interval	Periodic Interval	Secara periodik
   11	Period	5 hours	periode ini bisa diatur berdasarkan detik, menit, jam dan hari. Tergantung keinginan kita
   12	Select Action	Mail Notification	Pemberitahuan via Email
   13	Sender Address	apapa@emailmu.com	email pengirimnya
   14	Receiver Address	apapa@emailmu.com	Email pribadi yang akan menerima email ini juga
   15	Active	Check Active	Untuk mengaktifkan servis tersebut
   16	Pin to Specific Node	Nama Node Kita	Node Yang dituju
   17	Description	Service untuk memeriksa password user yang sudah habis masa berlakunya	Service untuk mengatur ulang password user yang expired

4. Setelah menekan Tombol Save maka kita akan kembali ke halaman “List of Services” dan kini Password Expired sudah berubah statusnya dari inactive menjadi active.
   

   

Pada saat user berusaha untuk men-generate sertifikat yang sudah dia daftarkan. Maka user akan diminta untuk memasukkan username dan password pada menu “Create Keystore” sesuai yang sudah dia daftarkan.

Apabila user salah memasukkan password maka user dengan username tersebut secara otomatis akan expired passwordnya dan tidak bisa mendownload sertifikat tersebut. Userpun akan mendapatkan pesan seperti berikut:

Pada saat salah memasukkan “Password” maka status user akan otomatis berubah dari “NEW” menjadi “GENERATED”. sedangkan status yang diperkenankan untuk mendownload sertifikat adalah “NEW, FAILED atau IN PROCESS”. Untuk itulah RA Administrator harus mengubah status user tersebut agar user bisa men-generate kembali sertifikatnya.

Renew CA Services

Selain untuk memberi peringatan terhadap user yang masa berlaku sertifikatnya akan habis, EJBCA juga punya service untuk memberi peringatan terhadap CA-CA yang berada di dalamnya apabila validitasnya akan berakhir. Berikut ini adalah cara untuk mengaktifkan service tersebut:

1. Pilih Services → Tulis Nama untuk Service yang akan dibuat → Add → Nama untuk Service tersebut akan muncul pada kolom “List of Services”

   

2. Untuk mengaktifkannya maka pilih Nama Service yang baru kita buat tersebut → Edit Services.

   

3. Setelah itu kita akan tiba pada halaman Edit Services.
   

   

   

   Pengaturan:
   

   No.	Opsi	Pilihan	Penjelasan
   1	Select Worker	Renew CA Service	Service untuk memperingati apabila ada CA yang masa berlakunya akan habis
   2	CAs to Check	RootCA2 dan Real Root CA	CA yang kita pilih untuk diperiksa
   3	Time before CA expires to renew	30 Days	Waktu sebelum memperbarui key dari CA yang akan habis validitasnya. Lamanya waktu dapat kita tentuan sendiri, apakah dalam format detik, menit, jam atau hari.
   4	Renew Keys	Activate	Memperbarui key dari CA tersebut
   5	Select Interval	Periodic Interval	Secara periodik
   6	Period	30 days	periode ini bisa diatur berdasarkan detik, menit, jam dan hari. Tergantung keinginan kita
   7	Select Action	Mail Notification	Pemberitahuan via Email
   8	Sender Address	apapa@emailmu.com	email pengirimnya
   9	Receiver Address	apapa@emailmu.com	Email pribadi yang akan menerima email ini juga
   10	Active	Check Active	Untuk mengaktifkan servis tersebut
   11	Pin to Specific Node	Nama Node Kita	Node Yang dituju
   12	Description	Service untuk memberi peringatan kepada CA yang validitasnya akan berakhir	Penjelasan mengenai service apa sih ini

4. Setelah menekan Tombol Save maka kita akan kembali ke halaman “List of Services” dan kini Renew CA sudah berubah statusnya dari inactive menjadi active.
   

   

Publish Queue Process

Untuk mencapai sebuah penerbitan yang sempurna, maka diadakanlah sebuah antrian (Publisher Queue). Ketika sebuah publisher gagal melaksanakan tugasnya, maka data yang harusnya di-publish akan disimpan dalam sebuah table yang berbeda dalam database, yaitu table PublisherQueueData. Antrian ini dapat diproses oleh sebuah service yang bernama “Publisher Queue Process”.

Publisher juga bisa diatur agar tidak secara langsung mempublish semua data, tetapi menyimpannya dalam sebuah antrian yang baru nantinya akan diproses. Dengan begini, proses menjadi tidak begitu padat dan lebih bisa terlihat.

Dalam Publisher, terdapat pengaturan:

• Current Length
  Menampilkan jumlah antrian baru dalam daftar antrian dalam interval <1 min, 1-10 min, 10-60 min dan >60 min.
• No direct publishing, only use queue
  Ketika fitur ini diaktifkan, Publisher tidak akan secara langsung mempublish data tapi akan memasukkan ke dalam antrian untuk nantinya diproses oleh service ini (Publisher Queue Service).
• Keep successfully published items in database
  Ketika fitur ini diaktifkan maka items yang disimpan dalam antrian tidak akan dihapus ketika item tersebut berhasil diselesaikan. Statusnya hanya akan diubah dari PENDING menjadi SUCCESS.
• Use queue for CRLs
  Mengatur apakah antrian ini harus menangani CRL juga atau tidak untuk publisher ini
• Use queue for certificates
  Mengatur apakah antrian ini harus menangani sertifikat atau tidak untuk publisher ini.

dan berikut adalah cara untuk mengaktifkan service ini:

1. Pilih Services → Tulis Nama untuk Service yang akan dibuat → Add → Nama untuk Service tersebut akan muncul pada kolom “List of Services”

   

2. Untuk mengaktifkannya maka pilih Nama Service yang baru kita buat tersebut → Edit Services.

   

3. Setelah itu kita akan tiba pada halaman Edit Services.
   

   

   Pengaturan:
   

   No.	Opsi	Pilihan	Penjelasan
   1	Select Worker	Publish Queue Process Service	Service untuk memproses antrian pada publisher
   2	Publisher to Check	LDAP	Publisher yang akan diperiksa antriannya.
   3	Select Interval	Periodic Interval	Secara periodik
   4	Period	1 hours	periode ini bisa diatur berdasarkan detik, menit, jam dan hari. Tergantung keinginan kita
   5	Select Action	No Action	-
   6	Active	Check Active	Untuk mengaktifkan servis tersebut
   7	Pin to Specific Node	Nama Node Kita	Node Yang dituju
   8	Description	Service untuk memproses antrian pada publisher	Penjelasan mengenai service apa sih ini

4. Setelah menekan Tombol Save maka kita akan kembali ke halaman “List of Services” dan kini Publish Queue Process sudah berubah statusnya dari inactive menjadi active.
   

   

   Publish Queue Status dapat kita lihat pada halaman pertama kala memasuki halaman admin. Sekali lagi diingatkan, event yang bisa disimpan pada antrian adalah karena proses publishing yang gagal atau memang publishing tersebut sengaja dimasukkan ke dalam antrian.

   

HSM Keepalive Service

Crypto Token dalam EJBCA adalah tempat dimana key disimpan. Crypto Token dapat di Backup baik oleh sebuah Soft Keystore (File ada di dalam Database) atau dengan HSM PKCS#11. Jika kita menggunakan HSM (Hardware Security Module) maka akan ada koneksi antara CA dengan HSM tersebut. Dalam EJBCA, koneksi antara HSM dengan EJBCA dapat terputus setelah IDLE dalam waktu beberapa hari. Untuk mengatasi masalah tersebut maka dibuatlah service ini.

Cara mengaktifkannya:

1. Pilih Services → Tulis Nama untuk Service yang akan dibuat → Add → Nama untuk Service tersebut akan muncul pada kolom “List of Services”

   

2. Untuk mengaktifkannya maka pilih Nama Service yang baru kita buat tersebut → Edit Services.

   

3. Setelah itu kita akan tiba pada halaman Edit Services.
   

   

   Pengaturan:
   

   No.	Opsi	Pilihan	Penjelasan
   1	Select Worker	Publish Queue Process Service	Service untuk memproses antrian pada publisher
   2	Select Interval	Periodic Interval	Secara periodik
   3	Period	5 minutes	periode ini bisa diatur berdasarkan detik, menit, jam dan hari. Tergantung keinginan kita
   4	Select Action	No Action	-
   5	Active	Check Active	Untuk mengaktifkan servis tersebut
   6	Description	Service untuk menjaga koneksi HSM dengan CA	Penjelasan mengenai service apa sih ini

4. Setelah menekan Tombol Save maka kita akan kembali ke halaman “List of Services” dan kini HSM Keepalive sudah berubah statusnya dari inactive menjadi active.
   

   

The post Menambahkan Services pada EJBCA 6.2.0 (via GUI) first appeared on GoBlog.