Dalam bebarapa keadaan, melakukan backup terhadap CA Signature Keys dan Encryption Keys adalah hal yang cukup bijak. Namun ada satu hal yang perlu diingat saat melakukan backup CA Keys, yaitu lindungilah kunci tersebut sama seperti kita melindungi CA itu sendiri.

Soft token CA bisa diekspor dan di-backup secara langsung melalui EJBCA, tapi tidak dengan CA yang menggunakan HSM (Hardware Security Module). Untuk mengekspor kunci pada CA yang menggunakan HSM maka proses backup harus dilakukan melalui HSM.

Ada 2 cara untuk mengimpor EJBCA yaitu dengan CLI (Command Line Interface) dan GUI (Graphical User Interface), sementara HSM hanya bisa diimpor dengan menggunakan CLI.

Menggunakan CLI (Ekspor)

Untuk mengekspor sebuah CA dengan nama imporCA menjadi file PKCS#12 bernama /home/imporCA.p12 , jalankan perintah berikut di direktori $EJBCA_HOME:

$ sh bin/ejbca.sh ca exportca imporCA /home/jboss/imporCA.p12
Setting SignatureKeyAlias to SignatureKeyAlias
Setting EncryptionKeyAlias to EncryptionKeyAlias
Enter keystore password:

• Jika Password belum diubah, isi dengan foo123

Apabila menemukan error seperti ini, maka ada perubahan yang harus dilakukan pada crypto token yang ada pada CA Funtions:

• Error ini menandakan kalau private keys CA tidak diizinkan untuk diekspor

Untuk membenahinya, masuk ke CA Functions →Crypto Tokens & pilih Crypto Token yang digunakan oleh CA tersebut. Pada contoh kali ini, imporCA menggunakan crypto token bernama imporCA:

Kalau diperhatikan, bagian check box untuk allow export private keys masih belum tercentang. Untuk mengubahnya, pilih switch to edit mode:

Centang check box allow export private keys kemudian tekan tombol save:

Sekarang Private Key dari CA sudah bisa diekspor:

Menggunakan CLI (Impor)

Untuk mengimpor backup key yang sudah kita expor tadi ke CA lainnya, jalankan perintah berikut pada direktori $EJBCA_HOME:

$ sh bin/ejbca.sh ca importca imporCA /root/imporCA.p12 
Importing soft token.
Enter keystore password:

Pada versi GUI-nya pun pasti otomatis langsung muncul:

Untuk bisa melakukan import CA yang mengunakan HSM. Jalankan perintah berikut:

$ sh bin/ejbca.sh ca importca --help

*Baca deskripsi dan rajin coba ya*

Baca juga: Konsep pada EJBCA

Menggunakan GUI

Untuk bisa mengekspor dan mengimpor CA Keys dengan menggunakan admin GUI, kita terlebih dahulu harus memiliki akses superadministrator. Pastikan kalau file .p12 tidak secara otomatis tersimpan pada tempat yang diinginkan oleh browser. 

Untuk mengekspor CA Keys, lakukan tahap berikut:

• Pilih Certificate Authorities dari administrator menu.
• Pada CA yang ingin diekspor, tekan edit.
• Pergi ke baris yang bertuliskan CA export requires the token authentication code.
• Masukkan keystore password tepat di dalam kotak yang disediakan kemudiakan tekan Export CA keystore
• File PKCS#12 akan terdownload oleh browser ke lokasi yang sudah kamu atur sebelumnya.

Untuk melakukan impor, lakukan tahap berikut:

• Pilih Certificate Authorities dari administrator menu.
• Pilih tombol import CA keystore
• Isi Form yang muncul. Beberapa hal yang harus diisi adalah nama CA yang akan diimpor, path file PKCS#12, keystore password.
• Isi Alias of signature key dengan SignatureKeyAlias
• Isi Alias of encryption key dengan EncryptionKeyAlias
• Kalau sudah, tekan tombol Import CA keystore

Renew CA

Kita bisa me-renew CA dengan 2 cara yaitu:

• Hanya me-renew sertifikatnya saja, menggunakan key yang sama.
• me-renew sertifikat dan key-nya.

Untuk me-renew hanya sertifikat CA dengan menggunakan key yang sama, cukup tekan Renew CA. CA harus dalam keadaan on-line sehingga CA bisa memberi sign atas terbitnya sertifikat baru tersebut jika CA tersebut merupakan self signed atau CA bisa menandatangani permintaan sertifikat baru jika itu adalah SUBCA. 

Jika permintaan sertifikat ini adalah untuk SUBCA dengan ROOTCA yang berada dalam satu EJBCA, ROOTCA harus dalam keadaan on-line.

Untuk me-renew CA keys, atur Next CA key dengan Generate new key using KeySequence. kalau sudah, maka kita hanya perlu menekan tombol Renew CA. Proses renew key ini tidak selalu berhasil jika kita menggunakan HSM. Bisa saja cara ini berguna bagi suatu HSM tapi tidak dengan yang lainnya. (silahkan melapor ke EJBCA kalau terjadi kegagalan).

Ketika menggunakan HSM, kita bisa me-renew key secara manual. Caranya cukup men-generate key baru di HSM dengan menggunakan tools apapun yang kita gunakan di awal (lebih baik menggunakan EJBCA CLI Tools) dan memilih key baru sebagai Next CA Key. Tekan tombol Renew CA untuk men-generate sertifikat CA yang baru.

Remove and Restore CA Soft Keystore

Soft Token CA bisa dihapus dari database. Ketika keystore dihapus, CA tidak bisa mengeluarkan sertifikat dan status CA Token menjadi offline.

Untuk menghapus catoken keys dari CA imporCA, jalankan perintah berikut pada direktori $EJBCA_HOME:

$ sh bin/ejbca.sh ca removekeystore imporCA

Untuk me-restore catoken key kembali, dengan menggunakan file .p12 yang sudah diekspor sebelumnya, jalankan perintah berikut pada direktori $EJBCA_HOME:

$ sh bin/ejbca.sh ca restorekeystore imporCA /home/jboss/imporCA.p12 -s SignatureKeyAlias -e EncryptionKeyAlias

Revoke CA

Jika kita ingin me-revoke sebuah CA, kita hanya perlu mengaahkan kursor ke Certification Authorities yang ada pada admin GUI. Pada CA yang kamu inginkan, tekan edit dan pada bagian CA Life Cycle, Pilih revoke.

Ketika melakukan revoke, ada beberapa hal yang perlu diperhatikan:

• Jika kita me-revoke ROOTCA, maka kita akan me-revoke semua sertifikat yang ada di database yang dikeluarkan oleh ROOTCA tersebut, dan membuat CRL.
• Jika kita me-revoke SUBCA, maka kita akan me-revoke semua sertifikat di database yang dikeluarkan oleh SUBCA tersebut, SUBCA itu sendiri dan membuat CRL. Ini terjadi secara otomatis jika SUBCA dan ROOTCA ditangani oleh instance EJBCA yang sama. Jika SUBCA ditandatangani oleh external CA, sertifikat SUBCA harus di-revoke oleh external CA yang menandatanganinya.
• Jika kita me-revoke external CA, sertifikat dari external CA tersebut akan di-revoke dan ditempatkan pada CRL dari CA yang menerbitkannya.

Yup, itu tadi sedikit tulisan mengenai cara mengelola CA pada EJBCA 6.10.1.2. Semoga bisa membantu ya

sumber: EJBCA Docs

The post Cara Mengelola CA pada EJBCA 6.10.1.2 first appeared on GoBlog.

Lalu pertanyaan yang muncul selanjutnya adalah bagaimana cara mendapatkan SSL Certificate dan memasangnya untuk server yang kita punya? Jawabannya gampang sekali. Banyak perusahaan IT yang menyediakan SSL Certificates. Sebut saja Digicert, Comodo, Verisign, dan masih banyak lagi. Kita hanya perlu membelinya. Yang namanya membeli pastilah mengeluarkan sejumlah uang, di sanalah letak tidak enaknya dari membeli sesuatu.

Nah pada kesempatan kali ini, saya mau mencoba memberikan cara untuk menerbitkan SSL Certificate sendiri alias gratis dengan bantuan dari EJBCA. Tanpa berlama-lama lagi, berikut ini caranya:

Alat dan Bahan

1. Server (Ubuntu) yang sudah terinstal sebuah CA (EJBCA). Cara installnya ada disini
2. Server (Ubuntu) yang terpasang Web Server di dalamnya.

Persiapan Administrasi EJBCA

1. Masuk ke dalam menu Administration dari EJBCA. Kalau sudah, pada bagian CA Functions, pilih Certificate Profiles. Tekan tombol Clone yang ada di sebelah “Name” Server.

   

2. Halaman baru pun akan muncul. Masukkan nama Certificate Profiles yang baru dari template Certificate Profiles Server yang kita cloning. Pada kesempatan kali ini saya akan menamakan profil yang baru ini CSR Server. Ketika sudah selesai memberi nama, tekan Create From Template.

   

3. Profile CSR Server pun kini sudah muncul pada Certificate Profiles. Tahap selanjutnya adalah mengedit beberapa parameter yang ada di dalamnya. Untuk melakukannya, pilih tombol Edit yang ada pada CSR Server.

   

4. Ada banyak sekali item yang perlu diatur, namun pada kesempatan kali ini saya ingin menitikberatkan pada Key Usage dan Extended Key Usage. Untuk Key Usage, centang bagian Use dan Critical. Secara default, Digital Signature dan Key Encipherment sudah terpilih secara otomatis. Biarkan seperti itu.
   Di bagian Extended Key Usage, pilih Use (tanpa memilih Critical) dan juga pilih Server Authentication.

   *Digital Signature sering digunakan untuk otentikasi suatu entitas dan integritas datanya. Sedangkan Key Encipherment digunakan ketika suatu sertifikat dipakai dengan sebuah protokol yang mengenkript keys (contohnya SSL).

   *Critical maksudnya adalah sertifikat HANYA digunakan untuk tujuan itu,

   

5. Bagian selanjutnya yang perlu diperhatikan adalah bagian Authority Information Access. Centang bagian Use dan gunakan OCSP Locator yang sudah didefinisikan sebelumnya pada CA. Jangan lupa masukkan URI dari CA yang mengeluarkan sertifikat ini.
   

   *OCSP Locator digunakan sebagai alamat untuk memeriksa status pencabutan dari sebuah sertifikat digital

   

6. Itu tadi bagian Certificate Profiles pada CA Functions. Sekarang kita masuk ke bagian End Entity Profiles yang ada di RA Functions.
   Sebelum menambahkan entitas, kita terlebih dahulu membuat Template/Profile guna mempermudah proses ke depannya. Tambahkan sebuah Profile, dalam hal ini bernama CSR Server, dengan cara mengetik namanya kemudian tekan tombol Add. Secara otomatis Profile tesebut akan masuk ke dalam List of End Entity Profiles.

   

7. Selanjutnya mari kita tambahkan entitas yang nantinya akan digunakan untuk mengenerate sebuah certificate. Caranya:
   • Pilih Add Entity.
   • Pada bagian End Entity Profile, Pilih CSR Server.
   • Masukkan Username dan Password sesuai dengan yang kita inginkan (dalam hal ini usernamenya adalah test.id)
   • Masukkan alamat email.
   • Pada contoh kali ini, untuk Subject DN Attributes, Saya hanya menggunakan CN (Common Name). Isi sesuai dengan FQDN Server yang ingin kita pasangkan Sertifikat SSL.
   • Di bagian Main Certificate Data, Pilih CSR Server sebagai Certificate Profile. Pilih juga CA yang akan menerbitkan sertifikat tersebut. Yang paling penting adalah Token HARUS diisi dengan User Generated, bukan PEM atau p12.
   • Kalau sudah selesai, tekan tombol Add

   

Pembuatan CSR di Server

Sekarang kita masuk ke dalam server yang ingin dipasangkan Sertifikat SSL. Nah, sebelum dipasangkan sertifikat SSL di server ini, terlebih dahulu kita akan membuat CSR (Certificate Signing Request). CSR adalah sebuah encoded text yang diberikan kepada sebuah CA (Certification Authority) ketika mengajukan sebuah sertifikat SSL. CSR biasanya berisi informasi yang akan disertakan dalam sertifikat seperti nama organisasi (O), Common Name (nama domain), lokalitas dan negara. CSR juga berisi kunci publik yang akan disertakan dalam sertifikat. Ketika membuat CSR, kita juga akan membuat Private Key.

Berikut ini langkah untuk membuat CSR:

1. Masuk ke dalam server yang ingin dipasangkan sertifikat SSL.
2. Berikutnya, kita akan membuat sebuah direktori untuk menampung file yang diperlukan dalam pembuatan sertifikat SSL ini. Pada contoh kali ini saya membuat folder sertifikat di dalam direktori opt.
3. Kalau sudah, masuk ke dalam direktori sertifikat tersebut dan buatlah CSR serta Private Key untuk server ini. Caranya, jalankan perintah berikut:

   openssl req -new -newkey rsa:2048 -nodes -keyout <nama_privatekey> -out <nama_csr>

   • Untuk nama_private key, kita bebas memberi nama apapun. Namun untuk mempermudah, tambahkan .key pada nama private key yang akan kita buat. Contohnya test.key
   • Seperti halnya nama_privatekey, kita juga bebas memberi nama pada nama_csr. Untuk mempermudah proses identifikasi, tambahkan .csr pada nama CSR yang ingin kita buat. Contohnya test.csr

4. Setelah memasukkan perintah tersebut dan menekan tombol Enter, kita akan diminta mengisi beberapa informasi, yaitu:
   • Nama Negara (Gunakan 2 Huruf Kode negara. Dalam contoh ini adalah Indonesia (ID))
   • Nama Provinsi (Dalam contoh ini adalah Banten)
   • Nama Kota (Dalam contoh ini adalah Tangerang)
   • Nama Unit (Dalam contoh ini adalah IT)
   • CN (Masukkan FQDN Server)
   • Email (Masukkan alamat Email)
   • Untuk Challenge Password dan Optional Company Name bisa dikosongkan saja.

   

5. Sekarang di dalam folder sertifikat, sudah ada 2 file yaitu test.key (private key) dan test.csr (CSR).

   

Generate Certificate

Dari server yang ingin kita pasangkan Sertifikat SSL, kita kembali lagi ke CA Server (EJBCA). Tahap selanjutnya adalah mengupload CSR yang sudah dibuat tadi untuk men-generate sertifikat SSL. Caranya:

1. Masuk ke halaman utama dari EJBCA.
2. Pada bagian Enroll, Pilih Create Certificate from CSR. Sebuah Form pun akan muncul.
3. Di bagian Enroll, masukkan username dari entitas yang sudah kita buat sebelumnya pada kolom username dan masukkan juga password yang kita buat bersamaan dengan username tersebut pada kolom Enrollment code.
4. Upload file CSR yang sudah kita buat di bagian Request File.
5. Pada bagian Result Type, pilih PEM – certificate only, kemudian tekan OK.

   

6. Jika berhasil, maka detail sertifikat akan muncul dan sebuah pop-up menu juga akan muncul. Download sertifikat tersebut.

   

7. Kalau sudah di download, masukkan sertifikat tadi ke dalam direktori /opt/sertifikat yang ada di server. Kini terdapat 3 file di dalam direktori tersebut.

   

Download Certificate Chain

Selanjutnya, kita akan kembali lagi ke server yang ingin kita pasang sertifikat SSL. Sebelum masuk ke dalam tahap konfigurasi, terlebih dahulu kita harus mengunduh 1 file lagi yaitu CA chain certificate dari CA yang menerbitkan sertifikat ini. Caranya:

Baca juga: Basoeki Abdullah dan Museumnya

1. Masuk ke alamat dari CA (EJBCA) yang menerbitkan sertifikat. Pada bagian Retrieve, Pilih Fetch CA Certificates. List CA yang tersedia pun akan muncul. Pilih Download PEM Chain.

   

2. Pop-up Menu pun akan muncul. Pilih Save File.

   

3. Kalau sudah di download, masukkan file chain.pem tersebut ke dalam direktori /opt/sertifikat. Kini di dalam folder tersebut sudah ada 4 file.
   • Certificate : testxxxxid.pem
   • Key : test.key
   • Certificate Chain : ixxxxxxxCA-chain.pem
   • CSR : test.csr (sudah tidak diperlukan)

   

Baca juga: Validasi Tanda Tangan Digital pada Adobe Acrobat

Konfigurasi Apache

Certificate, Key dan Certificate Chain sudah tersedia. Sekarang kita akan masuk ke tahap konfigurasi apache (tutorial ini pakai Apache ya, jadi kalau pakai Web Server lain ya harap cari tutorial sendiri). Caranya:

1. Masuk ke dalam folder sites-available yang ada di direktori apache2. Edit file 000-default.conf dengan editor yang kamu suka.

   cd /etc/apache2/sites-available
   vi 000-default.conf

   

2. Ubah <VirtualHost *:80> menjadi <VirtualHost *:443>
3. Masukkan nama domain ke dalam ServerName dan masukkan juga aliasnya ke dalam ServerAlias.
4. Arahkan DocumentRoot ke dalam folder yang ingin kamu tampilkan.
5.  Tambahkan:

   SSLEngine on
   SSLProtocol all -SSLv2 -SSLv3
   SSLCipherSuite ALL:!DH:!RC4:+HIGH:+MEDIUM:!LOW:!aNULL:!eNULL
   
   SSLCertificateFile /opt/sertifikat/testxxxxid.pem
   SSLCertificateKeyFile /opt/sertifikat/test.key
   SSLCertificateChainFile /opt/sertifikat/ixxxCA-chain.pem

   • Untuk SSLCertificateFile, arahkan pada file certificate (xxx.pem).
   • Untuk SSLCertificateKeyFile, arahkan pada file key (xxx.key).
   • Untuk CertificateChainFile, arahkan pada file chain (xxxchain.pem).
   

6. Untuk me-redirect port 80 ke port 443, tambahkan:

   <VirtualHost *:80>
    ServerName <nama_domain>
    Redirect permanent / https://<nama_domain>/
   </VirtualHost>

   

7. Simpan file 000-default.conf yang sudah mengalami perubahan tersebut.
8. Akftifkan SSL pada apache dengan menjalankan perintah berikut:

   a2enmod ssl

9. Setelah itu restart service apache dengan cara:

   service apache2 restart

10.  Pastikan service apache2 berjalan dengan perintah:

    service apache2 status

    

11. Kalau sudah running, masuk ke dalam web browser dan akses alamat server yang sudah dikonfigurasi tadi. (Web Browser yang saya gunakan adalah Firefox)

    

Import Root CA Certificate

Kalau dilihat, SSL sudah terpasang pada server. Namun pertanyaan selanjutnya adalah kenapa masih ada warning pada lambang gemboknya alias connection is not secure? Ternyata hal tersebut diakibatkan karena kita belum mengimpor RootCA Cert ke dalam browser.

Ketika SSL Certificate tersebut diperiksa, ternyata tidak ditemukan Cert dari CA yang mengeluarkannya di dalam repositori browser. Untuk itulah kita perlu mengimpornya secara manual. Caranya:

1. Download Root CA Cert pada CA Server (EJBCA)

   

2. Sebuah Pop-up akan muncul, simpan file .pem tersebut.

   

3. Setelah di download, kita akan mengimpor cert tersebut ke dalam browser (firefox). Tahap pertama, Buka browser dan masuk ke dalam bagian Preferences→Advanced→Certificates→View Certificates.

   

4. Pada bagian Authorities, pilih Import dan kemudian upload Root CA Cert yang sudah di-download tadi.

   

5. Centang semua Check Box dan kemudian pilih OK.
   

   

6. Pastikan Root CA sudah ada dalam repositori browser dan kemudian pilih OK.

   

7. Tutup dan buka kembali browser, kemudian akses kembali alamat server yang sudah dipasang SSL Certificate. VOILAAAA!!!! Connection is now secure.

   

8. Detail dari SSL Certificate yang sudah dipasang adalah sebagai berikut:
   

   

9. Secara iseng saya mencoba melihat nilai dari SSLLabs dan inilah nilai yang didapat:

   

   Kalau masalah TRUST diabaikan (karena memang ROOT CA-nya belum didaftarkan secara Internasional), maka nilai yang didapat adalah A-

Itu tadi sedikit sharing mengenai cara menerbitkan SSL Certificate pada EJBCA disertai sedikit cara memasangnya pada server yang dituju. Semoga informasi di atas dapat membantu ya. Saya juga masih belajar, jadi kalau ada pertanyaan atau ingin membenarkan hal yang salah dari tulisan ini, jangan ragu untuk komen di kolom Comment ya.

Terima kasih ^_^

The post Menerbitkan Sertifikat SSL untuk Server Melalui EJBCA 6.3.1.1 first appeared on GoBlog.