File PKCS #12 merupakan sebuah file untuk menyimpan banyak objek kriptografi sebagai sebuah file tunggal (satu file). File PKCS #12 ini biasanya digunakan untuk menyimpan kunci publik (public key) dan kunci privat (private key) secara bersamaan. PKCS #12 ini merupakan salah satu bagian dari sebuah standar yang bernama Public-Key Cryptography Standards (PKCS) yang dikeluarkan oleh RSA Laboratories. 

• Baca juga: Tutorial Simple Video Editing dengan FFmpeg pada Linux Terminal

Benar saja, seperti apa yang sudah saya duga sebelumnya, setelah saya menerbitkan sertifikat elektronik untuknya, ia meminta bantuan saya untuk mengekstrak file PKCS #12 tersebut menjadi 2 file terpisah, yaitu file kunci publik dan file kunci privatnya. Dan untuk kalian yang belum tahu bagaimana cara memecahnya, berikut tuorial singkat dari saya:

1. Masuk ke dalam direktori dimana file p12 kamu berada. Dalam contoh kali ini, file PKCS #12 saya bernama superadmin.p12 dan terletak di Desktop.

   

2. Setelah berada pada direktori dimana file PKCS #12 kalian berada, yang harus kalian lakukan selanjutnya adalah mengeluarkan kunci privatnya dengan perintah openssl. Berikut ini syntaxnya:

   openssl pkcs12 -in <file p12> -nocerts -out <nama kunci privat.pem>

   

   penjelasan:

   • pkcs12
     PKCS#12 Data Management
   • -in
     inputan berupa file berekstensi .p12
   • -nocerts
     Karena ingin mengekstrak kunci privat, maka nocerts dibutuhkan agar yang terekstrak bukanlah sertifikatnya (kunci publiknya)
   • -out
     Nama untuk keluarannya yang berekstensi .pem

   Setelah mengeksekusi perintah di atas, kalian akan diminta untuk memasukkan password dari p12-nya sebanyak kurang lebih 3x. Pastikan kalian memasukan semuanya dengan benar, karena kalau tidak, kunci privatnya tidak akan tersekstrak.
   

   

   Dari perintah di atas, saya mengekstrak kunci privat dengan nama privateKey.pem

3. Setelah sukses mengekstrak kunci privat, sekarang waktunya untuk mengekstrak kunci publiknya. Caranya adalah:

   openssl pkcs12 -in <file p12> -clcerts -nokeys -out <nama kunci publik.pem>

   

   penjelasan:

   • pkcs12
     PKCS#12 Data Management
   • -in
     inputan berupa file berekstensi .p12
   • -nokeys
     Karena ingin mengekstrak kunci publik, maka nokeys dibutuhkan agar yang terekstrak bukanlah key-nya (kunci privatnya)
   • -out
     Nama untuk keluarannya yang berekstensi .pem

   Setelah mengeksekusi perintah di atas, kalian akan diminta untuk memasukkan password dari p12-nya sebanyak kurang lebih 1x. Pastikan kalian memasukan dengan benar, karena kalau tidak, kunci publiknya tidak akan tersekstrak. Pada perintah di atas, saya mengekstrak kunci publik dengan nama publicCert.pem

4. Kini sudah ada 2 file .pem baru di dalam direktori kalian. Gunakan perintah ls -al untuk melihat detil dari kedua file yang baru dibuat (privatKey.pem dan publicCert.pem)

   

Mencocokkan Kunci Publik dan Privat

Sampai tahap ini, kunci privat dan kunci publik sudah terpecah atau tersekstrak dengan baik. Namun kalian pasti ada yang bertanya bagaimana cara mengetahui kalau kunci publik dan kunci privat tersebut adalah pasangan yang sesuai? Namanya keypair alias pasangan kunci, pastinya harus cocok, bukan?

• Baca juga: Cara Merotasi Video dengan FFmpeg

Nah, untuk mencocokkan pasangan kunci, maka kalian harus mencari modulus dari kedua file tersebut (kunci publik dan privat). Bila hasil keduanya sama, maka bisa dipastikan keduanya adalah pasangan yang cocok. Tapi jika tidak sama, maka itu bukanlah pasangan kunci yang tepat.

Tanpa berlama-lama lagi, berikut syntax untuk mencari nilai modulusnya:

openssl x509 -in <nama kunci publik.pem> -noout -modulus

Keterangan:

1. x509
   x509 Certificate Data Management
2. -in
   Nama file masukan (inputan)
3. -noout
   Agar tidak ada hasil keluaran berupa file
4. -modulus
   Nilai modulus

Seperti dapat terlihat di atas, hasil yang keluar adalah karakter random yang sangat panjang milik kunci publik. Kalau memang kunci privat yang kalian miliki adalah pasangan kunci dari kunci publik tersebut, seharusnya nilai modulusnya itu sama. Namun akan sulit rasanya membandingkan karakter sepanjang itu. Untuk meminimalisasinya, mari hashing karakter di atas ke dalam format md5 dan baru setelah itu dibandingkan nilainya. Caranya:

Modulus Kunci Privat

openssl rsa -in <kunci privat.pem> -noout -modulus | openssl md5

Modulus Kunci Publik

openssl x509 -in <kunci publik.pem> -noout -modulus | openssl md5

Dari gambar di atas, terlihat kalau hasil hashing dari modulus kedua kunci adalah sama. Hal tersebut berarti keduanya meruoakan pasangan yang cocok.

******

Itu tadi sedikit cara untuk memecah file p12 menjadi kunci publik dan kunci privat yang terpisah, serta cara untuk mencari nilai modulus dari tiap kunci. Semoga tutorial singkat di atas bisa berguna untuk kalian ya. Apabila ada pertanyaan, baik itu seputar tulisan di atas ataupun bukan, jangan ragu untuk menanyakannya di kolom komentar ya.

Terima kasih

Sampai jumpa di tulisan selanjutnya.

• Baca juga: Mengenal dan Mempelajari Kebudayaan Alor di Museum 1000 Moko

The post Memecah Public dan Private Key pada File Berekstensi p12 first appeared on GoBlog.

Jawabannya adalah TIDAK. Oleh sebab itu, sebelum sertifikat digital superadmin tersebut habis masa berlakunya, kita perlu memperpanjang masa berlakunya atau membuat sertifikat lain dengan masa berlaku yang lebih panjang dan rules yang setara dengan superadmin tersebut.

Apakah hal tersebut dimungkinkan? Ya tentu saja. Berikut ini saya akan memberikan cara untuk menambahkan Super Administrator Role kepada sebuah end entity sehingga entitas tersebut memiliki peran yang setara dengan superadmin.

Detail mengenai peran dalam EJBCA bisa dibaca DI SINI

Membuat Super Administrator Baru via GUI

Ada beberapa tahap yang perlu dilalui sebelum dapat mengeluarkan sebuah sertifikat digital. Dimulai dari membuat certificate profile, membuat end entity profile, menambahkan end entity dan men-generate sertifikat, dan yang terakhir adalah menambahkan end entity tersebut ke dalam super administrator role.

Membuat Certificate Profile untuk Super Administrator

Pada bagian ini saya akan menunjukkan cara untuk membuat sebuah sertifikat profil baru untuk super administrator dengan nama AdministratorProfile. Sertifikat Administrator ini akan dikeluarkan oleh sebuah CA yang bernama RootCA2.

• Pada bagian “CA Functions” pilih “Certificate Profiles”
• Pilih “Clone” pada profile dengan nama “ENDUSER”.

  

• Masukkan “AdministratorProfile” sebagai nama barunya kemudian tekan “Create From Template”.

  

• Tekan “Edit” pada profile yang baru kita buat tersebut.

  

• Pada bagian “validity” masukkan 365d (valid untuk 1 tahun).
• Pada bagian “Available bit Lengths”, pilih “1024”, “2048” dan “4096” bit.

  

• Uncheck “Allow Key Usage Overide”.
• Pada bagian “Key Usage”, pilih “Digital Signature”, “Non Repudiation” dan “Key Encipherment”
• Pilih “Use Extended Key Usage”.
• Pada bagian “Extended Key Usage”, Pilih “Client Authentication” & “Email Protection“.
  

  

• Pada bagian “Available CAs”, pilih “RootCA2″ (CA yang kamu pilih untuk mengeluarkan sertifikat admin”.
• Pilih “Save”.

  

Membuat End Entity Profile untuk Super Administrator

Setelah Certificate Profile untuk Super Administrator berhasil dibuat, kini saatnya untuk membuat End Entity Profile. Antara End Entity Profile dan Certificate Profile akan saling berhubungan karena di dalam End Entity Profile kita akan memasukkan Certificate Profile.

• Pada bagian “RA Functions” pilih “Edit End Entity Profiles”.
• Masukkan nama untuk End Entity Profile “SuperAdministratorProfile”.
• Tekan “Add”.

  

• Pilih “SuperAdministratorProfile” dan tekan “Edit End Entity Profile”.

  

• Pada bagian “Subject DN Fields”, tambahkan beberapa DN FIeld yang kamu inginkan seperti O, UID, atau C.

  

• Pada bagian “Default Certificate Profile”, pilih “AdministratorProfile”.
• Pada bagian “Available Certificate Profiles” pilih “AdministratorProfile”.
• Pada bagian “Default CA” pilih “RootCA2”.
• Pada bagian “Available CAs” pilih “RootCA2”.
• Tekan “Save”.

  

Menambahkan End Entity untuk dijadikan sebagai Super Administrator

Setelah membuat End Entity Profile dan Certificate Profile, Sekarang adalah waktunya untuk menambahkan End Entity. Pada kesempatan kali ini kita akan membuat End Entity dengan CN=superAdmin1

• Pada bagian “RA Functions” pilih “Add End Entity”.
• Pada bagian “End Entity Profile” pilih “SuperAdministratorProfile”.
• Pada bagian “Certificate Profile” pilih “AdministratorProfile”.
• Pada bagian “CA” pilih “RootCA2”.
• Pada bagian “Token” pilih “P12 File”.
• Tekan “Add”.

  

Setelah itu kita akan mendownload sertifikat dari superAdmin1 tersebut berupa file .p12 dari entitas tersebut. Caranya:

• Pada bagian “Enroll” pilih “Create Keystore”.
• masukkan “username” dan “Password” dari End Entity yang baru ditambahkan tadi.
• Tekan “OK”

  

• Pada bagian “Key Length” pilih “2048 bits”.
• Tekan “Enroll”

  

• Sebuah Pop up menu akan muncul dan tekan “OK”.

  

• file p12 ini hanya bisa satu kali download. Jadi kalau hilang maka tidak bisa di-generate ulang. simpan file superadmin.p12 ini dengan baik.

  

Membuat Peran Super Administrator

Super Administrator memiliki akses untuk kemana saja dia mau dan untuk membuat peran tersebut bisa dibilang cukup mudah. Kenapa? Karena peran tersebut memang sudah disiapkan oleh EJBCA dan kita hanya perlu menambahkan End Entity ke dalam peran tersebut. Caranya:

• Pada bagian “System Functions” pilih “Administrator Roles”.
• Pada “Super Administrator Role” pilih “Administrators“.

  

• Sebuah form akan muncul dan isi form tersebut seperti berikut:
  CA = RootCA2
  Match with = X509: CN, Common Name
  Match type = Equals, case sens
  Match value = superAdmin1

  

• Kalau sudah tekan tombol “Add” dan secara otomatis superAdmin1 sudah masuk ke dalam peran Super Administrator.

  

• Jadi pada saat penentuan sebuah End Entity untuk dijadikan Super Administrator, ada beberapa parameter pada bagian “Match With” yang bisa dijadikan pilihan. Diantaranya adalah berdasarkan kecocokan negara, UID, CN dan lain-lain. pada kesempatan kali ini kita mencocokkan berdasarkan “Common Name”.

  

• Pada bagian Match value, kita harus memasukkan nama CN dengan tepat. Perhatikan huruf besar dan kecilnya karena pada bagian Match type, kita mengisinya dengan Equal, case sensitive.

Uji Coba Super Administrator Baru

Untuk melakukan uji coba, terlebih dahulu kita harus mengimpor p12 dari superAdmin1 ke dalam browser. Caranya:

• Buka Firefox. Pilih “Hamburger Menu” → Preferences → Advanced → Certificates → View Certificates → Import.

  

• Pilih file “superadmin1.p12” kemudian masukkan password untuk membuka file p12 tersebut.

  

• Apabila sukses maka akan ada notifikasi seperti berikut

  

• dan pastikan superadmin1 muncul dalam daftar sertifikat yang berhasil diimpor.

  

• Sekarang masuk ke dalam halaman administration EJBCA dan pasti sebuah pop-up menu akan muncul yang merupakan detil dari sertifikat superadmin1 yang baru saja kita impor tadi:

  

Rules dalam Roles

ada 3 status dalam advanced mode yang ada pada EJBCA yaitu:

Tipe	Deskripsi
Unused	Secara eskplisit menjelaskan bahwa sebuah peran tidak punya sebuah aturan untuk resource ini
Accept	Akses diizinkan untuk resource ini. Jika diset rekursif, Accept juga akan menjadi pilihan default untuk Rules apapun dari tipe Unused yang diperoleh dari aturan ini
Decline	Akses ditolak untuk resource ini. TIpe ini akan mengalahkan Rekursif dari Accept yang sudah di set sebelumnya

Membuat Super Administrator Baru via CLI

Selain via GUI, Super Administrator Role bisa juga dibuat via CLI. Berikut ini caranya:

• Pertama, kita perlu melihat ada berapa peran yang tersedia dan sudah ada berapa admin di dalamnya. Caranya:

  sh ejbca.sh roles listroles

  

• Dari gambar di atas, kita sudah bisa melihat kalau tersedia 3 peran yaitu RA Administrator, Super Administrator Role dan latihanviacli. Karena peran yang kita inginkan sudah ada, yaitu Super Administrator Role, kita tidak perlu lagi menambahkan peran seperti yang saya lakukan di sini. yang perlu kita lakukan adalah menempelkan peran tersebut kepada sebuah end entity. Caranya:

  sh ejbca.sh roles addadmin --role<spasi><nama_role_yang_ingin_di_assign> --caname<spasi><Nama_CA> --with<spasi>WITH_COMMONNAME --type<spasi>TYPE_EQUALCASE --value<spasi><nilainya>

  

  Dari gambar di atas dapat dilihat kalau kita sukses menambahkan sebuah entitas dengan CN=superAdmin2 yang dikeluarkan oleh CA RootCA2 ke dalam peran Super Administrator Role. Type Equalcase maksudnya adalah nilai dari CN yang dimasukkan bersifat Case Sensitive.

• Apabila kamu kesulitan untuk mengetahui syntaxnya. kamu bisa menjalankan perintah berikut:

  sh ejbca.sh roles addadmin --help

  

  Semua penjelasan akan muncul disitu. Mulai dari syntax hingga penjelasan perintah yang ada dalam syntax dan mulai yang mandatori hingga opsional.

• Karena Super Administrator Role, maka kita tidak perlu lagi menambahkan Role Based Access Rules, Regular Access Rules, CA Access Rules dan End Entity Profile Access Rules. Semua sudah tercakup di dalamnya.
• Untuk melihat apakah list admin yang ada di dalam Super Administrator Role sudah bertambah dan siapa saja aktor yang ada di dalamnya, jalankan perintah berikut:

  

  Dari gambar di atas terlihat kalau Super Administrator Role kini memiliki 4 Admins di dalamnya dan superAdmin2 adalah entitas terakhir yang berhasil kita tambahkan ke dalamnya.

• Untuk lebih memastikannya maka kita juga bisa memeriksanya lewat GUI. Kalau kita tadi sudah menambahkan superAdmin2 via CLI, maka role tersebut akan tampil pada Super Administrator Role yang ada di GUI. Cara memeriksanya:
  Administration →System Functions →Administrator Roles→Super Administrator Role dan lihat superAdmin2 akan muncul di dalam list tersebut

  

Itu tadi sedikit tutorial mengenai cara menambahkan suatu Super Administrator Role kepada sebuah Entitas dan Semoga informasi tersebut dapat membantu kalian.

Sampai jumpa di postingan selanjutnya ya.

The post Menambahkan Super Administrator Role pada Sebuah End Entity di EJBCA 6.2.0 first appeared on GoBlog.

Peran

Pada saat melakukan instalasi EJBCA, EJBCA membuat peran Super Administrator, secara default ini disebut Superadmin. Peran ini bisa melakukan:

• Memiliki seluruh akses ke dalam EJBCA.
• Dapat mengatur konfigurasi sistem.
• Dapat mengelola CA.
• Dapat mengelola Publishers (LDAP, Active Directory, custom)
• Dapat membuat Administrator CA.

Selain super administrator tersebut, EJBCA juga memiliki 3 peran default yang memang dirancang untuk memenuhi beberapa kebutuhan yang ada pada EJBCA. Jika ketiga peran tersebut juga belum bisa memenuhi kebutuhan user, maka terdapat peran custom yang bisa dikonfigurasi secara manual melalui Advance Mode. Untuk lebih lengkapnya, mari kita lihat ketiga peran tersebut dan apa saja yang bisa mereka lakukan.

1. CA Administrator
   Mengelola Certificate Profiles.
   Mengelola End Entity Profiles.
   Mengelola Konfigurasi Log.
   Mengelola Publishers.
   Dapat membuat RA Administrators.
   Dapat memperbarui Sebuah CA dengan sertifikat baru dan Keys baru.
   Memiliki full akses untuk membaca Audit Log.
2. RA Administrator
   Dapat membuat End Entities.
   Dapat memodifikasi End Entities.
   Dapat mencabut End Entities.
   Dapat menghapus End Entities.
   Dapat melihat End Entites yang sudah ada dan history mereka.
   Memiliki full akses untuk membaca audit log.
3. Supervisor
   Dapat melihat End Entities yang sudah berhasil dibuat.
   Memiliki full akses untuk membaca audit log

Ada dua cara untuk menambahkan peran pada seorang User. yang pertama adalah lewat GUI (Grapichal User Interface) dan yang kedua adalah lewat CLI (Command Line Interface). Di kesempatan pertama ini kita akan membuat RA Administrator lewat GUI.

Membuat RA Administrator Baru via GUI

Pada contoh kali ini saya akan mengajak kalian untuk menambahkan role yang dimulai dari membuat sertifikat Administrator baru, menambahkan administrator ke sebuah peran dan menguji aksesnya.

Membuat Sertifikat Profile untuk Administrator

Pada bagian ini saya akan menunjukkan cara untuk membuat sebuah sertifikat profil baru untuk administrator. Sertifikat Administrator ini akan dikeluarkan oleh sebuah CA yang bernama RootCA2.

• Pada bagian “CA Functions” pilih “Certificate Profiles”
• Pilih “Clone” pada profile dengan nama “ENDUSER”.

  

• Masukkan “AdministratorProfile” sebagai nama barunya kemudian tekan “Create From Template”.

  

• Tekan “Edit” pada profile yang baru kita buat tersebut.

  

• Pada bagian “validity” masukkan 365d (valid untuk 1 tahun).
• Pada bagian “Available bit Lengths”, pilih “1024”, “2048” dan “4096” bit.

  

• Uncheck “Allow Key Usage Overide”.
• Pada bagian “key Usage”, pilih “Digital Signature” dan “Key Encipherment”
• Pilih “Use Extended Key Usage”.
• Pada bagian “Extended Key Usage”, Pilih “Client Authentication”.

  

• Pada bagian “Available CAs”, pilih “RootCA2″ (CA yang kamu pilih untuk mengeluarkan sertifikat admin”.
• Pilih “Save”.

  

Membuat End Entity Profile untuk Administrator

Pada bagian ini saya akan menunjukkan bagaimana membuat End Entity Profile untuk Administrator. Profil ini akan berhubungan dengan Certificate Profile yang dibuat di atas.

• Pada bagian “RA Functions” pilih “Edit End Entity Profiles”.
• Masukkan nama untuk End Entity Profile “AdministratorProfile”.
• Tekan “Add”.

  

• Pilih “AdministratorProfile” dan tekan “Edit End Entity Profile”.

  

• Pada bagian “Subject DN Fields”, tambahkan beberapa DN FIeld yang kamu inginkan seperti O, UID, atau C.

  

• Pada bagian “Default Certificate Profile”, pilih “AdministratorProfile”.
• Pada bagian “Available Certificate Profiles” pilih “AdministratorProfile”.
• Pada bagian “Default CA” pilih “RootCA2”.
• Pada bagian “Available CAs” pilih “RootCA2”.
• Tekan “Save”.

  

Menambahkan End Entity untuk dijadikan sebagai Administrator

Setelah membuat End Entity Profile dan Certificate Profile, Sekarang adalah waktunya untuk menambahkan End Entity. Pada kesempatan kali ini kita akan membuat End Entity dengan CN=RA Admin1

• Pada bagian “RA Functions” pilih “Add End Entity”.
• Pada bagian “End Entity Profile” pilih “AdministratorProfile”.
• Pada bagian “Certificate Profile” pilih “AdministratorProfile”.
• Pada bagian “CA” pilih “RootCA2”.
• Pada bagian “Token” pilih “P12 File”.
• Tekan “Add”.

  

Setelah itu kita akan mendownload sertifikat berupa file .p12 dari entitas tersebut. caranya:

• Pada bagian “Enroll” pilih “Create Keystore”.
• masukkan “username” dan “Password” dari End Entity yang baru ditambahkan tadi.
• Tekan “OK”

  

   

• Pada bagian “Key Length” pilih “2048 bits”.
• Tekan “Enroll”

  

• Sebuah Pop up menu akan muncul dan tekan “OK”.

  

Membuat Peran RA Admin

RA Admin harus memiliki akses untuk menambah, melihat daftar, mengedit End Entity. Untuk membuat peran tersebut caranya:

• Pada bagian “System Functions” pilih “Administrator Roles”.
• Tekan “Add”.

  

• PIlih sebuah nama untuk Grup Administrator yang baru. Sebut saja “RA Administrator”.

  

• Setelah grup berhasil dibuat, pilih “Acces Rules”.
• Pilih “RA Administrator” pada “Role Template”.
• Pada bagian “Authorized CAs”, pilih CA mana saja yang bisa diakses oleh RA Admin ini. Pilih “RootCA2”.
• Pada bagian “Edit End Entity Profiles” pilih saja “All”.
• Pada bagian “End Entity Rules” pilih semua kecuali “Delete End Entities” & “View Hard Token PUK Codes”.
• Press “Save”.

  

Menambahkan Adminisrator ke dalam peran RA

• Pada bagian “RA Functions” pilih “Search End Entities”.
• Pilih End Entity yang baru saja kita buat (dalam hal ini admin1), pilih “View Certificates”.

  

• Copy nilai dari “Certificate Serial Number”, contoh “5F003A0113F507F9”.

  

• Pergi Ke “Administrator Roles”, pilih “Administrators” yang ada di bagian “RA Administrator”.

  

• Pada bagian “CA” pilih CA yang menjadi tempat bernaung Administrator yaitu “RootCA2”.
• Paste text dari “Certificate Serial Number” pada bagian “Match Value”
• Pada bagian “Match With” pilih “X509: Certificate Serial Number”.
• Pada bagian “Match Type” pilih “Equal, case sens.”.
• Tekan “Add”

  

   

Jadi pada saat penentuan sebuah End Entity untuk dijadikan RA Administrators, ada beberapa parameter pada bagian “Match With” yang bisa dijadikan pilihan. Diantaranya adalah berdasarkan kecocokan negara, UID, CN dan lain-lain. pada kesempatan kali ini kita mencocokkan berdasarkan “Certificate Serial Number”.

Uji Coba Administrator Baru

untuk melakukan uji coba kita akan mengimpor p12 dari admin1 ke dalam browser. Caranya:

• Buka Firefox. Pilih “Hamburger Menu” → Preferences → Advanced → Certificates → View Certificates → Import.

  

• Pilih File “admin1.p12” kemudian masukkan password untuk membuka file p12 tersebut.

  

• Apabila sukses maka akan ada notifikasi seperti berikut

  

• dan pastikan Admin1 muncul dalam daftar sertifikat yang berhasil diimpor.

  

• Sekarang coba login ke dalam EJBCA dengan menggunakan sertifikat “admin1” dan lihat perbedaan tampilannya.

  

• Ketika tampilan sudah berbeda dari tampilan ketika mengakses EJBCA menggunakan user “Superadmin” maka penambahan peran Administrator pada sebuah End Entity sudah berhasil.

  

Roles dan Rules

Izin dalam EJBCA tidak pernah diberikan kepada individu, tapi kepada peran (role) tertentu yang berisi daftar aspek dan aturan akses. Ketika Peran (Roles) bisa diberi nama sesuai dengan kebijaksanaan pengguna, Aturan (Rules) mewakili Roles yang diberi nama tadi. Akses menuju resource ini juga berhubungan dengan sebuah AccessRuleState yang mungkin salah satu dari tiga detail berikut:

Tipe	Deskripsi
Unused	Secara eskplisit menjelaskan bahwa sebuah peran tidak punya sebuah aturan untuk resource ini
Accept	Akses diizinkan untuk resource ini. Jika diset rekursif, Accept juga akan menjadi pilihan default untuk Rules apapun dari tipe Unused yang diperoleh dari aturan ini
Decline	Akses ditolak untuk resource ini. TIpe ini akan mengalahkan Rekursif dari Accept yang sudah di set sebelumnya

Membuat Administrator Baru via CLI

Selain via GUI, Administrator Role bisa juga dibuat via CLI. Caranya:

Masuk ke terminal lalu masuk ke dalam direktori ejbca/bin. langkah pertama yang akan dilakukan adalah

• sh ejbca.sh roles addrole

  

  Dari gambar di atas didapatkan bahwa kita harus memasukkan nama Role untuk addrole

• Syntax untuk menambahkan role dengan nama role-nya adalah

  sh ejbca.sh roles addrole --role <spasi> <nama_role>
  

  

• untuk memeriksa apakah penambahan role baru tersebut sudah berhasil, jalankan perintah berikut:

  sh ejbca.sh roles listroles
  

  

Role baru sudah berhasil ditambahkan. Tapi perlu diingat kalau itu baru nama role saja, belum ada entitiy yang ditambahkan ke dalam role tersebut alias belum ada adminnya. Untuk menambahkan admin ke dalam role tersebut kita bisa melakukannya dengan cara:

• jalankan perintah:

  sh ejbca.sh roles addadmin --role<spasi><nama_role_yang_dibuat_di_atas> --caname<spasi><Nama_CA> --with<spasi>WITH_SERIALNUMBER --type<spasi>TYPE_EQUALCASE --value<spasi><nilainya>

  

  Dari gambar di atas dapat dilihat kalau kita sukses menambahkan sebuah entitas dengan nomor serial 275156C*** yang dikeluarkan oleh CA RootCA2 ke dalam peran admin yang bernama latihanviacli. Type Equalcase maksudnya adalah nilai dari Serial number yang dimasukkan bersifat Case Sensitive.

• Untuk melihat detail syntaxnya, anda bisa menjalankan perintah

  sh ejbca.sh roles addadmin --help

  Semua penjelasan akan muncul disitu mulai dari syntax hingga penjelasan perintah yang ada dalam syntax, mulai yang mandatori hingga yang opsional.

  

Kalau tadi sudah membuat role dan menambahkan sebuah entitas ke dalam role tersebut, sekarang adalah saatnya untuk menambahkan rule ke dalam role tersebut. Rule yang akan kita buat persis sama seperti  Rules pada Role RA Administrator GUI di atas. Rules berfungsi untuk memberikan batasan-batasan mengenai apa saja yang boleh dan tidak boleh dilakukan oleh user dalam role tersebut. caranya:

• Kita akan mencoba menambahkan Role Based Access Rules dengan resource /administrator pada role latihanviacli. syntaxnya:

  sh ejbca.sh roles changerule --name<spasi><nama_role> --rule<spasi><rule_yang_ingin_ditambahkan> --rule /administrator --state<spasi><nama_value>

  

• Sekarang kita akan menambahkan Regular Access Rules dengan resource /ca_functionality/create_certificate pada role latihanviacli. syntaxnya:

  sh ejbca.sh roles changerule --name<spasi><nama_role> --rule<spasi><rule_yang_ingin_ditambahkan> --rule /ca_functionality/create_certificate --state<spasi><nama_value>
  

  

• Tambahkan juga Regular Access Rules dengan resource:
  /ca_functionality/store_certificate
  /ca_functionality/view_certificate
• Masih dalam Regular Access Rules, kini tambahkan resource untuk ra_functionality dengan detail:
  /ra_functionality/approve_end_entity
  /ra_functionality/create_end_entity
  /ra_functionality/delete_end_entity
  /ra_functionality/edit_end_entity
  /ra_functionality/revoke_end_entity
  /ra_functionality/view_end_entity
  /ra_functionality/view_end_entity_history
• Pada bagian CA Access Rules, kita akan menambahkan untuk salah satu CA. Syntaxnya:

  sh ejbca.sh roles changerule --name<spasi><nama_role> --rule<spasi><rule_yang_ingin_ditambahkan> --rule /ca/RootCA2 --state<spasi><nama_value>
  

  

• Yang terakhir adalah menambahkan End Entity Profile Access Rules. Untuk yang satu ini, kita akan melakukannya secara rekursif (ke seluruh file yang ada di dalam folder /endentityprofilerules). Syntaxnya :

  sh ejbca.sh roles changerule --name<spasi><nama_role> --rule<spasi><rule_yang_ingin_ditambahkan> --rule /endentityprofilesrules --state<spasi><nama_value> -R

  

Lengkap sudah semua proses mulai dari membuat role, menambahkan entitas pada role tersebut dan membuat rules untuk role tersebut. Untuk melihat hasil tersebut kita bisa menjalankan perintah sh ejbca.sh roles listadmins –role latihanviacli untuk melihat detail admin dengan role latihanviacli dan perintah sh ejbca.sh roles listroles untuk melihat role apa saja yang kita punya dan berapa admin yang ada pada role tersebut.

untuk lebih memastikannya maka kita juga bisa memeriksanya lewat GUI. Kalau kita tadi sudah menambahkan role latihanviacli melalui CLI, maka role tersebut akan tampil pada Administrator Roles yang ada di GUI. Cara memeriksanya:

• Administration →System Functions →Administrator Roles dan lihat latihanviacli akan muncul di dalam list tersebut.

  

Itu tadi sedikit tutorial mengenai cara menambahkan suatu Role kepada Entitas dan memberikan rules kepada role tersebut. Semoga informasi tersebut dapat membantu kalian.

Sampai jumpa di postingan selanjutnya ya.

The post Cara Memberikan Administrator Role pada End Entity di EJBCA 6.2.0 first appeared on GoBlog.

Menerbitkan Sertifikat Digital via GUI

Untuk mengakses via GUI, tahapan yang perlu dilakukan adalah

1. Akses Halaman Administration dari EJBCA kamu

   

2. Pada Bagian RA Functions, pilih Add End Entity kemudian isi semua field yang tersedia setelah itu tekan Add

   

   Certificate Profile dan End Entity Profile sudah dibahas pada postingan INI dan INI.

   • Username
     merupakan nama untuk sertifikat digital yang akan kamu terbitkan. Username ini sifatnya unik.
   • Password
     Kata sandi yang digunakan untuk melihat informasi yang ada pada sertifikat digital tersebut.
   • Confirm Password
     Hanya mengetik ulang karakter yang kamu tulis pada bagian Password.
   • Email Address
     Alamat Email dari pemilik sertifikat digital ini
   • Common Name
     Nama pemilik dari sertifikat digital yang akan diterbtkan.
   • Serial Number
     Nomor bebas yang bisa diberikan. Sebagai contoh bisa nomor SIM atau nomor Passport
   • Organization
     Organisasi tempat dimana yang mempunyai sertifikat bernaung. Sebagai contoh misalnya Kementrian Ketenagakerjaan Indonesia
   • Organizational Unit
     bagian yang lebih spesifik dari Organization, yaitu Unit kerja di bawah organisasi dimana yang mempunyai sertifikat berada. Sebagai contoh, karena di atas sudah menggunakan Kementrian Ketenaga Kerjaan, maka contoh Organizational Unit nya adalah Pembinaan Pengawasan Ketenagakerjaan dan Keselamatan dan Kesehatan Kerja.
   • Country
     Negara dimana yang mempunyai sertifikat berasal.
   • CA
     Nama CA yang akan mengeluarkan file sertifikat digital ini
   • Token
     Pada kesempatan kali ini karena menggunakan .p12 file, maka token yang digunakan adalah p12.
3. Apabila sukses, maka akan muncul pesan seperti berikut:

   

4. Setelah itu, kamu harus kembali ke halaman awal EJBCA untuk men-generate sertifikat tersebut karena pada tahapan sebelumnya kamu baru sampai tahap menambahkan (add).
5. Setelah tiba di halaman utama, pilih Create Keystore yang akan meminta kamu untuk memasukkan username dan password yang sesuai dengan apa yang sudah kamu masukkan pada tahapan add end entity sebelumnya.

   

6. Kalau sesuai antara username dan password, maka akan tampil halaman untuk “mendaftarkan” sertifikat digital tersebut. Pilih ENROLL untuk mendownload sertifikat kamu.

   

7. Setelah selesai, maka sebuah pop up menu akan muncul dan file .p12 kamu siap untuk di download

   

Menerbitkan Sertifikat Digital via CLI

Sebenarnya tahapan untuk menerbitkan sertifikat digital via CLI ini bisa kamu lihat pada website official EJBCA, namun saya akan coba menjelaskannya kembali. Semoga bisa lebih mudah dipahami ya.

Pada direktori EJBCA, ada sebuah folder bin yang berisi sebuah shell script bernama ejbca.sh. File ejbca.sh inilah yang akan kita gunakan. Sebenarnya ejbca.sh ini tidak hanya digunakan untuk menerbitkan sertifikat digital saja, tetapi hampir seluruh aktivitas bisa dilakukan lewat script ini.

syntax umum untuk menerbitkan sertifikat digital adalah “sh ejbca.sh <spasi> ra <spasi> addentity <spasi> –username <spasi> –dn <spasi> –canama <spasi> –type <spasi> –token”

Mari kita buat shell script sederhana dengan nama latihan.sh untuk melakukan ujicoba penerbitan sertifikat digital via CLI. Berikut adalah isinya:

Setelah selesai, simpan konfigurasi tersebut kemudian cobalah untuk mengeksekusinya. Saat mengeksekusi file tersebut, kamu akan diminta untuk memasukkan nilai-nilai dari variabel yang sudah di set di dalam script latihan.sh seperti pada gambar berikut

Nah, seperti yang kalian lihat pada gambar di atas, pastikan tulisan “User …….. has been added” itu muncul. Kalau muncul berarti script tersebut sukses. Untuk lebih memastikan apakah memang benar user “latihandong” berhasil ditambahkan, mari kita mengeceknya lewat GUI.

Pada bagian RA Functions, pilih Search End Entities dan masukkan username “latihandong”. Hasilnya akan tapil seperti berikut:

untuk men-generate sertifikat digital bagi user “latihandong” yang baru saja kamu buat, maka kamu perlu membuat satu shell script lagi dengan nama cetak_latihan.sh yang berisi:

Setelah selesai, coba simpan konfigurasi tersebut kemudian eksekusi file cetak_latihan.sh tersebut. Kembali kamu akan diminta username dan password kala mengeksekusi script tersebut, dalam hal ini masukkan username dan password dari “latihandong” dan hasilnya adalah seperti berikut:

file latihandong.p12 sudah ter-generate dan lokasi filenya berada di dalam folder p12. Untuk lebih memastikannya lagi, mari kita periksa status dari user latihandong lewat GUI, seharusnya sudah berubah dari “new” menjadi “generated”.

cara pengecekan lewat GUI-nya masih sama, Pada bagian RA Functions, pilih Search End Entities dan masukkan username “latihandong”.

itu tadi sedikit penjelasan mengenai cara menerbitkan sertifikat digital pada EJBCA 6.2.0, semoga informasi tersebut bisa membantu kalian.

Sampai jumpa di postingan berikutnya

The post Cara Menerbitkan Sertifikat Digital untuk Seseorang pada EJBCA 6.2.0 first appeared on GoBlog.

Namun sebelumnya ada yang perlu saya jelaskan mengenai web EJBCA ini:

• http://<ip atau domain>:8080
  Ini merupakan halaman default untuk JBoss (tidak terenkripsi). Alamat ini mengacu pada sebuah konsole administrasi, dimana konsole administrasi tersebut hanya dapat diakses oleh localhost dan menggunakan akun jadmin yang telah kita buat sebelumya. Jika tidak maka koonsole tersebut tidak bisa berinteraksi dengan EJBCA.
• http://<ip atau domain>:8080/ejbca
  Ini merupakan halaman publik untuk EJBCA. Fungsi utama dari EJBCA diakses dari sini.
• https://<ip atau domain>:8443/ejbca
  Ini merupakan versi terenkripsi dari halaman yang di atas. Halaman ini hanya dapat diakses ketika kita usdah mengimpor file superadmin.p12 ke dalam Browser.
• https://<ip atau domain>:8443/ejbca/adminweb
  Halaman administrasi utama untuk EJBCA. Membutuhkan superadmin.p12 juga untuk mengaksesnya.

Halaman Administration (administrasi) adalah halaman yang digunakan untuk mengelola Mangement CA. Melalui halaman ini kita bisa membuat sebuah CA baru (Sub  CA), mengeluarkan sertifikat untuk End Endtity, mengatur scheduler untuk mengotomatisasi suatu perintah, dan masih banyak lainnya.

Mengingat pentingnya halaman ini, maka halaman Administrasi dari EJBCA ini tidak bisa diakses oleh sembarangan orang. Halaman Administrasi ini bukanlah halaman yang kita akses melalui http://<ip atau domain>:8080/ejbca. Itu merupakan halaman “umum”. Namun dalam halaman umum tersebut terdapat sebuah link bertuliskan “Administration” yang bisa membawa kita ke halaman Administrasi.

Halaman ini diklaim lebih secure karena menggunakan HTTPS dan yang bisa mengakses halaman ini hanyalah dia yang punya file superadmin.p12 yang dihasilkan setelah sukses melakukan ant install. Ketika kita mencoba menekan link administration tersebut maka akan muncul pesan error seperti gambar berikut:

Error tersebut muncul akibat kita belum mengimpor sertifikat superadmin ke dalam browser kita. Seperti yang saya bilang tadi, halaman administration hanya bisa diakses oleh dia yang punya file superadmin.p12 yang sudah diimpor ke dalam browser.

Download Superadmin.p12

Lalu bagaimana cara kita mengimpor file superadmin.p12 tersebut? Pertama kita harus mendownloadnya terlebih dahulu. Caranya buka Filezila dan arahkan sftp ke server EJBCA dan download file superadmin.p12 dari direktori /opt/ejbca/p12.

Impor p12 ke dalam Browser

Seusai mendownload kita harus mengimpor file p12 tersebut ke dalam browser. Caranya:

• Buka Firefox dan pilih Hamburger menu yang ada di pojok kanan atas kemudian Pilih Preferences:

  

• Kemudian pilih Advanced → Certificates → View Certificates

  

• Pilih Import dan kemudian pilih file p12 yang sudah kita download sebelumnya. Setelah memilih file p12 tersebut maka sebuah pop up menu akan muncul yang isinya adalah meminta passphrase dari p12 tersebut. Masukkan sesuai dengan apa yang kita input seusai menjalankan perintah ant install (baca di sini)

  

  Passphrase merupakan sebuah password yang digunakan untuk membungkus file p12.

• apabila password tersebut cocok maka akan muncul alert seperti berikut:

  

Uji Coba

Setelah sukses mengimpor file superadmin.p12 tersebut maka sekarang saatnya mencoba. Masuk kembali ke halaman depan EJBCA dengan mengakses http://<ip atau domain>:8080/ejbca dan kemudian pilih link Administration:

Sebuah Pop up menu akan muncul kembali. Pop up kali ini berisi detail dari sertifikat yang kita impor tadi. Kurang lebih seperti ini tampilannya:

Jangan lupa mencontreng pilihan “Remember this Decision” agar ketika ingin kembali ke halaman ini maka kita tidak lagi diminta untuk memilih sertifikat p12 tersebut.

Voila, Setelah memilih OK maka kita akan masuk ke dalam halaman Administration yang kurang lebih tampilannya seperti berikut:

The post Cara Mengakses Halaman Administration EJBCA 6.2.0 first appeared on GoBlog.