1. Pendaftaran Sertifikat untuk Server

Sebelum menerbitkan sertifikat, kalian terlebih dahulu harus mendaftarkan entitas akhir terlebih dahulu. Pilih Add Entity yang berada di bawah menu RA Functions. Pada bagian End Entity Profile, kalian pilih Profil_server yang sudah kalian buat tadi dan field yang sesuai dengan profil tersebut pun akan muncul menggantikan profile sebelumnya.

Sebagai contoh, saya akan mengisi setiap field-nya sebagai berikut:

• Username: server_testing1
• Password: 123456789
• Confirm Password: 123456789
• Email: server_testing1@gmail.com
• CN: Server Testing 1
• Email: √
• O: Testing
• OU: <kosong>
• C: ID
• DNS Name: <FQDN>
• IP Address: <alamat_IP>
• Certificate Profile: Testing_Auth_Server
• CA: CA Authentication G1
• Token: P12 File
• Add

2. Pendaftaran Sertifikat untuk Client

Sama halnya seperti pendaftaran sertifikat untuk server, pada sisi client ini kalian hanya perlu mengubah End Entity Profile menjadi Profil_client. Dan berikut ini adalah contoh pengisian tiap field pada Profil_client.

• Username: client_testing1
• Password: 123456789
• Confirm Password: 123456789
• Email address: client_testing1@gmail.com
• CN: Client Testing 1
• O: Testing
• OU: <kosong>
• C: ID
• Email: √
• Certificate Profile: Testing_Auth_Client
• CA: CA Authentication G1
• Token: P12 File
• Add

3. Menerbitkan Sertifikat untuk Server

Untuk menerbitkan sertifikat, kalian masuk ke halaman pertama dari EJBCA (bukan halaman admin). Pada bagian Enroll, pilih Create Keystore. Masukkan nama username dan password, lalu tekan OK.

Jika username dan password sesuai, maka kalian akan diminta untuk menentukan key spesification untuk seritifikat yang akan diterbitkan. Silakan pilih sesuai dengan kebutuhan kalian, tapi dalam contoh kali ini saya akan menerbitkan dengan detil RSA 2048 bits. Tekan enroll dan sertifikat akan langsung terunduh ke direktori download di laptop kalian.

4. Menerbitkan Sertifikat untuk Client

Sama halnya seperti menerbitkan sertifikat untuk server. Untuk menerbitkan sertifikat untuk klien, kalian masuk ke halaman pertama EJBCA, pilih Create Keystore pada menu Enroll, dan masukkan username & password yang sesuai.

Berikutnya kalian hanya perlu menentukan key spesification. Sama seperti sertifikat untuk server, sertifikat untuk klien kali ini pun RSA 2048 bits. Tekan enroll untuk menerbitkannya dalam bentuk file P12.

5. Mengunduh Truststore dari CA yang Dipakai untuk Menerbitkan Sertifikat.

Ketika 2 file sebelumnya sudah berhasil terunduh (server_testing1.p12 & client_testing1.p12), sekarang adalah waktunya untuk mengunduh truststore dari CA yang dipakai untuk menerbitkan kedua file P12 tersebut.

Cara mengunduhnya pun mudah. Kalian hanya perlu masuk ke halaman pertama dari EJBCA dan pilih Fetch CA Certificates yang berada di bawah menu Retrieve. Perhatikan CA yang kalian gunakan untuk menerbitkan sertifikat bagi entitas akhir (pada contoh kali ini adalah CA Authentication G1). Kemudian pilih Download JKS Truststore yang ada pada bagian CA Certificate Chain dan file berekstensi .JKS tersebut akan otomatis terunduh ke dalam direktori download di laptop kalian.

Berarti sampai sejauh ini sudah ada 3 file yang berhasil diunduh: server_testing1.p12, client_testing1.p12, CAAuthenticationG1-chain.jks. File CAAuthenticationG1-chain.jks ini diperlukan untuk nantinya diimpor ke dalam laptop atau server sebagai rootCA yang dipercaya. Untuk mempermudah, file CAAuthenticationG1-chain.jks bisa di-rename menjadi truststore.jks.

6. Membuat Keystore

Kalau sebelumnya ada truststore yang digunakan untuk menyimpan sertifikat dari RootCA yang dipercaya, maka keystore ini dibuat untuk menyimpan kunci privat dan sertifikat pemilik yang nantinya akan digunakan untuk identifikasi pada saat proses verifikasi.

Sekarang kita akan membuat keystore.jks yang nantinya akan diunggah ke dalam server. Caranya dengan menggunakan perintah keytool (silakan install apabila kalian belum memasangnya). Perintahnya:

keytool -importkeystore -srckeystore <file p12 milik server> -srcstoretype PKCS12 -destkeystore <nama file.jks> -deststoretype JKS

Kalian akan diminta memasukkan password dari P12 dan password  untuk file .jks yang akan kalian buat. Pada contoh kali ini saya membuatnya sama.

Sampai sejauh ini sudah ada 4 file yang kalian punya: server_testing1.p12, client_testing1.p12, truststore.jks, keystore.jks

7. Mengunggah file .jks, Menjalankan Aplikasi, dan Menguji Mutual Autentikasi

Sukses membuat file truststore.jks dan keystore.jks, sekarang waktunya mengunggah kedua file tersebut ke dalam server untuk digunakan oleh aplikasi sederhana yang dibungkus ke dalam container. Contoh penggunaannya adalah sebagai berikut:

7. Menguji Aplikasi (1)

Seperti dapat kalian lihat pada tahap nomor 6, aplikasi simple yang dibuat menggunakan port 8081 sebagai port yang diekspos ke luar. Untuk menguji apakah Mutual Autentikasi berhasil, saya akan memasukkan ke dalam browser alamat domain atau IP dan menambahkan port 8081 di belakangnya (browser yang saya gunakan untuk pengujian adalah Firefox).

Akan terdapat peringatan ketika saya mencoba untuk mengakses aplikasi tersebut. Jika memilih “Terima Risikonya dan Lanjutkan” pun saya akan mendapati halaman error. Hal ini dikarenakan browser (dalam contoh kali ini Firefox) belum memiliki rootCA certificate di dalam repositorinya sebagai daftar CA yang terpercaya.

Untuk bisa membuat sertifikat yang digunakan oleh aplikasi dipercaya oleh browser, saya harus menambahkan RootCa certificate ke dalam Firefox. Sekaranglah waktunya untuk rootCA cert dari web EJBCA yang sudah diunduh tadi ditambahkan ke dalam browser. Caranya:

keytool -importkeystore -srckeystore <CA.jks> -destkeystore <Nama_CA.p12> -deststoretype PKCS12
openssl pkcs12 -in <Nama_CA.p12> -nokeys -out <Nama_CA.cer>

Untuk mendapatkan sertifikat dari rootCA yang nantinya akan diimpor ke dalam browser, kalian bisa mengekstraknya dari file .jks. Namun yang saya lakukan adalah mengubahnya terlebih dahulu ke dalam file .p12 dan baru kemudian mengambil file .cer-nya.

8. Mengimpor Sertifikat CA ke dalam Browser (Firefox)

Begitu sudah memiliki sertifikat dari rootCA (CAAuthentiationG1-chain.cer), saya harus mengimpornya ke dalam browser. Berikut ini adalah tahapan untuk mengimpornya:

• Pilih menu tiga garis yang ada di bagian kanan browser dan pilih pengaturan.
• Pada searchbox, masukkan keyword: sertifikat.
• Pilih tampilkan sertifikat.
  

  

• Tabel “Pengelola Sertifikat” akan muncul. Pada tab Otoritas, pilih impor.
  

  

•  Pilih sertifikat rootCA dalam bentuk file .cer yang sudah diekstrak dari file .p12 tadi.

  

• Kemudian akan muncul sebuah tab baru untuk kalian memercayai CA yang baru diimpor tadi agar masuk dalam daftar CA terpercaya. Jangan lupa untuk mencentang “Percayai CA ini untuk mengidentifikasi situs web” dan kemudian pilih Oke.
  

  

9. Menguji Aplikasi (2)

Setelah mengimpor sertifikat rootCA ke dalam browser, saya kembali mencoba untuk mengakses aplikasi melalui URL yang sama seperti sebelumnya. Pesan warning tidak akan muncul, tapi berganti menjadi pesan error yang berbeda. Kali ini pesan error di Firefox berbunyi, “Sambungan Aman Gagal” dengan kode kesalahan “SSL_BAD_CERT_ALERT”.

Hal ini dikarenakan saya baru mengimpor sertifikat rootCA ke dalam browser, tapi tidak dengan file .p12 milik klien. Saya harus juga memasukkan file .p12 (client_testing1.p12) ke dalam browser (bahkan sistem operasi).

10. Mengimpor file PKCS12 Klien ke Dalam OS

Untuk melengkapi tahapan Mutual Autentikasi, saya juga harus memasukkan PKCS12 klien (client_testing1.p12) ke dalam laptop kalian, setelah sebelumnya file PKCS12 milik server (server_testing1.p12) sudah diimpor ke dalam server.

Cara mengimpor sertifikat ke dalam laptop adalah sebagai berikut: (saya akan memberi contoh dengan menggunakan Macbook)

• Pilih file .p12 yang ingin diimpor (client_testing1.p12)
• Kalian akan diminta memasukkan password untuk membuka file PKCS12 tersebut dan memasukkannya ke dalam sistem operasi.

  

• Jika password-nya benar, maka public dan private key dari klien akan otomatis masuk ke dalam keychain access.
  

  

11. Menguji Aplikasi (3)

Semua tahapan seharusnya sudah dilakukan dengan benar. Sekarang waktunya untuk melakukan pengujian terakhir. Agar lebih pasti lagi, saya akan menutup browser terlebih dahulu dan membukanya kembali. Saya akan memasukkan kembali URL yang sama seperti sebelumnya dan kini pesan yang tampil pun akan berbeda.

Sebuah window yang berisi detil informasi akan sertifikat klien yang baru saja kalian impor akan muncul. Sertifikat ini memang dibutuhkan untuk melakukan Mutual Autentikasi dengan server. Tekan Oke dan saya akan masuk ke dalam halaman pertama dari aplikasi kecil yang saya buat.

******

Dengan tampilnya halaman pertama dari aplikasi yang menandakan kalau proses Mutual Autentikasi antara server dan klien sudah berhasil, maka berakhirlah tulisan ini. Semoga informasi ini bisa berguna ya. Sampai jumpa di tulisan selanjutnya.

Sumber Tambahan

• Client Certificate for authentication Purpose → DI SINI.
• Recommended key usage for a client certificate → DI SINI.
• Setup & verify Mutual TLS Authentication with OpenSSL → DI SINI.
• Membedakan server & klien dalam Mutual TLS Authentication → DI SINI.
• Aplikasi sederhana untuk pengujian Mutual Autentikasi → DI SINI. 

The post Mutual Autentikasi Menggunakan Sertifikat dari EJBCA (Bagian 2) first appeared on GoBlog.

Setelah mengetahui bagaimana teorinya, saya dan beberapa orang teman pun lantas mencari tahu bagaimana cara mengimplementasikan Mutual Autentikasi tersebut. Banyak tutorial yang bertebaran di luar sana, hanya saja tutorial-tutorial tersebut menggunakan sertifikat yang dibuat sendiri dengan menggunakan OpenSSL seperti yang saya baca DI SINI dan juga DI SINI.

Tidak ada yang salah dengan metode yang saya baca dari 2 web tersebut, hanya saja saya sudah memiliki environment CA yang saya buat menggunakan EJBCA 7.4.3.2. Saya berpikir kenapa tidak menggunakan environment yang sudah ada dan pastinya proses manajemen sertifikatnya pun jauh lebih mudah karena sudah ada sistemnya.

Berangkat dari hal tersebut, akhirnya saya dan beberapa orang teman mengoprek bagaimana cara menerbitkan sertifikat dari EJBCA 7.4.3.2 yang bisa digunakan untuk Mutual Autentikasi. Puji Tuhan setelah lebih dari 10x mencoba akhirnya ujicoba itu berhasil dan berikut ini adalah tahapan yang berhasil saya dan teman-teman dokumentasikan.

*Profil yang dibuat di sini hanyalah untuk keperluan testing

1. Membuat Certificate Profile untuk CA di EJBCA

Sebenarnya ketika sukses melakukan instalasi EJBCA yang pertama kali, kalian sudah mendapati sebuah CA di dalam EJBCA dengan nama ManagementCA. Bisa saja kalian langsung menerbitkan sertifikat untuk end entity melalui CA tersebut, namun alangkah baiknya membuat CA baru untuk keperluan penerbitan sertifikat Mutual Autentikasi.

Sebelum membuat CA baru, kalian terlebih dahulu harus membuat certificate profile untuk CA yang akan dibuat tersebut. Caranya adalah dengan masuk ke dalam halaman administration dari EJBCA dan pilih Certificate Profiles yang berada di bawah CA Functions. Pada contoh kali ini saya akan membuat Certificate Profiles dengan nama TestingAuth.

Selanjutnya kalian bisa melakukan pengaturan untuk TestingAuth tersebut. Salah satu bagian yang perlu diperhatikan adalah Type. Pilih RootCA pada bagian Type. Sedangkan untuk key algorithm, panjang bit yang tersedia, signature algorithm, validitas dari sertifikat CA, itu bisa kalian tentukan sendiri sesuai dengan yang kalian mau.

Pada bagian X.509v3 extensions pastikan use & critical pada Basic Constraints dipilih. Begitu juga dengan Key Usage, pastikan use & critical dipilih. Untuk item pada Key Usage-nya sendiri, kalian bisa memilih Key certificate sign, CRL sign, (digital signature). Kosongkan bagian Extended Key Usage dan Certificate Policies.

Masih pada bagian X.509v3 extensions, kalian boleh menggunakan Subject Alternative Name dan Issuer Alternative Name, hanya saja tidak perlu critical. Begitu pula dengan CRL Distribution Points, kalau kalian menggunakannya pastikan tidak memilih critical.

Pada bagian other data, kalian bebas menentukan apakah subject DN akan mengikuti urutan LDAP atau tidak. Sedangkan untuk available CAs, masukkan saja pilihan any ca. Setelah itu kalian bisa menekan tombol save untuk menyimpan konfigurasi.

2. Membuat CA

Usai sukses membuat Certificate Profiles untuk CA, sekarang waktunya untuk membuat CA-nya. Pada halaman administration EJBCA, pilih Certificate Authorities pada bagian CA Functions. Selanjutnya buat sebuah nama bagi CA yang ingin kalian buat. Pada kesempatan kali ini saya akan membuat sebuah CA dengan nama CA Authentication G1. 

Begitu memasukkan nama CA dan menekan tombol create, kalian akan langsung dibawa masuk ke halaman konfigurasi CA. Pada bagian CA Type, pilih X.509 CA. Untuk signing algorithm-nya sendiri silakan pilih yang kalian mau. Pada kesempatan kali ini saya memilih SHA256WithRSA. Pada kesempatan kali ini pun saya meng-unchecked Enforce unique public keys & Enforce unique DN dan memilih Use User Storage & Use Certificate Storage pada bagian Directives.

Selanjutnya kalian akan berfokus pada bagian CA Certificate Data. Untuk Subject DN, silakan kalian isi sesuai dengan yang kalian butuhkan. Pada bagian Signed by, kalian bisa memilih self signed. Nah, bagian yang penting ada pada Certificate Profile. Ubah pilihannya menjadi certificate profiles yang baru saja dibuat tadi. Pada contoh kali ini berarti namanya adalah TestingAuth. 

Untuk soal validitas, serial number octet size, utf-8, PrintableString Encoding in DN, silakan kalian tentukan sendiri berapa nilainya dan apakah ingin digunakan atau tidak.

Tahap terakhir dalam contoh konfigurasi kali ini adalah dengan mengaktifkan CMS Service, Finish User, dan monitor if CA Active. Jika sudah, silakan tekan tombol create.

3. Membuat Certificate Profiles untuk Server

CA sudah berhasil dibuat, sekarang berarti waktunya untuk membuat certificate profiles untuk sertifikat server yang akan diterbitkan. Certificate profiles ini perlu diatur karena bertujuan untuk mendefinisikan jenis sertifikat yang akan dikeluarkan, ekstensinya dan juga terkait dengan SubjectDN, dll.

Pada menu Certificate Profiles, tambahkan CP baru dengan nama yang kalian inginkan. Pada contoh kali ini namanya adalah Testing_Auth_Server. Hampir sama seperti ketika membuat certificate profiles untuk CA, hanya saja kali ini type yang dipilih adalah End Entity. Untuk masalah masa aktif, algoritma, panjang bit, sekali lagi itu adalah pilihan kalian.

Beranjak ke bagian berikutnya yaitu X.509v3 extensions. Pada bagian Basic Constraints, pilihan critical tidak perlu dipilih.

Dan sekarang masuk ke bagian Key Usage (KU) dan Extended Key Usage (EKU), salah satu bagian terpenting dalam proses penerbitan sertifikat. Untuk key usage, kalian silakan pilih digital signature dan Key Encipherment. Pastikan juga kalau key usage ini critical.

Pada bagian extended key usage, pilih Server Authentication dan pastikan EKU ini tidak critical. Bagian certificate policies bisa dikosongkan saja.

Pada bagian X.509v3 extensions Names & Validation Data, silakan pilih yang ingin kalian gunakan tapi jangan di-set sebagai critical. Berikut ini adalah contoh yang saya gunakan pada bagian names & validation data.

Sebagai bagian penutup, biarkan profil ini bisa diaplikasikan pada CA manapun, oleh sebab itu pilih Any CA pada other data. Untuk urutan subjectDN, silakan dipilih apakah ingin mengikuti urutan LDAP atau tidak. Pada contoh kali ini saya menggunakan urutan LDAP untuk subjectDN. Jika sudah, silakan tekan tombol save.

4. Membuat Certificate Profiles untuk Client

Karena Mutual Autentikasi membutuhkan 2 sertifikat untuk saling bertukar informasi (sertifikat milik klien dan server yang diterbitkan CA), maka sekarang waktunya untuk membuat Certificate Profiles untuk sisi klien agar nantinya sertifikat klien bisa dibuat dengan menggunakan profil ini. Tidak terlalu banyak perbedaan antara profil klien dan server.

Seperti halnya pembuatan CP pada server, maka untuk menambahkan CP pada klien pun menunya sama. Pilih certificate profiles yang berada di bawah CA Functions, masukkan nama profile yang ingin dibuat (dalam hal ini adalah Testing_Auth_client), dan kemudian tekan tombol Add.

Berikutnya akan langsung masuk ke bagian konfigurasi. Pada bagian Type, jangan lupa untuk memilih End Entity. Masa aktif sertifikat yang akan diterbitkan, panjang bit, algoritma yang digunakan, dan yang lainnya silakan ditentukan sendiri.

Untuk bagian Permissions, pastikan key usage override itu di-unchecked dan checked Use Certificate Storage dan Store Certificate Data. 

Nah, yang paling penting adalah pada bagian X.509v3 extensions. Pertama, pastikan Basic constraints adalah non-critical. Untuk Key Usage, pilih critical dan key-usage-nya adalah digital signature, non-repudiation, dan key encipherment. Sedangkan untuk Extended Key Usage, pilih non-critical dan poin-poin yang dipilih adalah client authentication (dan email protection). Untuk bagian Certificate Policie bisa dikosongkan.

Pada bagian Names, jika ingin menggunakan seperti Subject Alternative Name, Name Constraints, CRL Distribution Points, pastikan opsinya non-critical. 

Di bagian akhir, silakan pilih Any CA untuk bisa digunakan oleh CA mana saja dan silakan enable LDAP DN Order untuk mengurutkan SubjectDN berdasarkan LDAP. Selanjutnya tekan save.

5. Pembuatan End Entity Profile untuk Server

Certificate Profiles sudah berhasil dibuat, sekarang waktunya membuat End Entity Profile. End Entity Profile berfungsi untuk menyediakan template bagi entitas akhir yang sertifikatnya ingin diterbitkan.

Template  tersebut meliputi SubjectDN, bagian mana yang wajib dan atau yang tidak bisa diubah, dan informasi spesifik lainnya bagi entitas akhir (seperti IP, DNS), dll. Di sini pun kalian akan menentukan CA apa yang akan digunakan untuk menerbitkan sertifikat dan certificate profiles yang ingin dipilih.

Seperti halnya certificate profiles, untuk end entity pun kalian akan membuat 2 profil, yaitu untuk server dan klien. Yang pertama, mari buat untuk server terlebih dahulu.

Pilih End Entity Profiles yang berada di bawah menu RA Functions. Masukkan nama End Entity Profiles yang kalian inginkan dan kemudian pilih Add Profile. Pada contoh kali ini saya akan memberi nama profile  dengan Profil_server. 

Selanjutnya kalian hanya perlu mengatur beberapa item yang ada di dalamnya. Mari fokus ke dalam Subject DN Attributes. Pada contoh kali ini saya menambahkan CN, Email, O, OU, dan C. Sedangkan pada bagian Other Subject Attributes, saya menambahkan DNS Name dan IP address. Kedua attributes tersebut saya atur untuk modifiable dan hanya CN yang required alias wajib.

Berikutnya kalian akan berfokus pada Main Certificate Data. Di sinilah kalian akan mengatur CA yang kalian gunakan untuk penerbitan, certificate profiles-nya, dan hasil keluaran sertifikat. Karena sebelumnya sudah dibuat beberapa pengaturan untuk server ini, maka yang perlu dilakukan sekarang hanyalah memilihnya.

Untuk Default Certificate Profile dan Available Certificate Profiles pilih Testing_Auth_Server. Sedangkan Default CA dan Available CAs pilih CA_Authentication_G1. Karena untuk pengujian kali ini saya hanya membutuhkan file P12, maka Default Token dan Available Tokens hanya pilih P12 File. Setelah itu pilih save.

6. Pembuatan End Entity Profile untuk Client

Sebenarnya tidak ada yang jauh berbeda dalam pembuatan profile untuk klien kali ini. Yang membedakan hanyalah certificate profiles yang digunakan dan saya menghilangkan Other Subject Attributes. Biar tidak bingung, saya akan coba menjelaskan tahapannya dari awal.

Pertama, pilih End Entity Profiles yang berada di bawah menu RA Functions. Masukkan nama End Entity Profiles yang kalian inginkan dan kemudian pilih Add Profile. Pada contoh kali ini saya akan memberi nama profile  dengan Profil_client.

Selanjutnya sama seperti Profil_server, hanya saja saya menghilangkan other subject attributes sehingga yang diatur hanyalah Subject DN Attributes. Biarkan hanya CN yang required dan yang lainnya hanya perlu modifiable.

Lalu pada bagian Main Certificate Data, pilih Testing_Auth_Client sebagai Default Certificate Profile dan Available Certificate Profiles. Pilih CA Authentication G1 sebagai Available CAs dan Default CA. Untuk token, pilih P12 sebagai default token dan Available Tokens. Jika sudah tekan save.

Itu tadi beberapa pengaturan pada EJBCA untuk menertbitkan sertifikat yang akan digunakan untuk Mutual Autentikasi natara server dan client. Untuk tahapan penerbitan sertifikat dan juga ujicoba Mutual Autentikasi akan dilanjutkan pada postingan selanjutnya DI SINI.

The post Mutual Autentikasi Menggunakan Sertifikat dari EJBCA (Bagian 1) first appeared on GoBlog.