Caused by: java.security.cert.CertificateExpiredException: NotAfter: Sun Feb 07 14:16:21 WIB 2021

Dan ternyata memang benar. Setelah diperiksa masa berlaku sertifikat SSLnya melalui browser, masa berlakunya sudah lama sekali habis.

Tidak ada pilihan untuk memperbaikinya selain menerbitkan sertifikat SSL yang baru untuk halaman EJBCA. Lantas bagaimana cara menerbitkannya? Ada 3 cara untuk menerbitkan sertifikat SSL yang baru. Cara pertama adalah via GUI (Graphical User Interface) dan 2 cara lainnya adalah via CLI (Command Line Interface).

Mari kita mulai dari cara yang pertama

via GUI

1. Masuk ke dalam halaman administration EJBCA via browser.
2. Arahkan perhtatian kalian pada submenu RA Functions dan pilih Search End Entities.
3. Pada bagian Search end entity with username, kalian masukkan: tomcat. Kemudian tekan tombol search untuk melakukan pencarian

   

4. Ya, tomcat merupakan username yang kalian cari. Saat sudah mendapatkan hasilnya, tekan tombol Edit End Entity pada bagian paling kanan di sebelah status: generated.

   

5. Akan banyak field yang muncul dari entitas ini. Kalian tidak perlu pusing. Arahakan saja pandangan kalian pada bagian teratas dari pop-up menu yang muncul setelah kalian menekan tombol Edit End Entity.
   Pertama, ubah statusnya dari Generated menjadi New.
   Kedua, masukkan password untuk sertifikat yang akan diterbitkan ini. Kalian boleh menyamakannya dengan password yang lama atau bisa mengubahnya dengan yang baru. Di mana kalian bisa melihat password yang lama? Lokasinya ada di $EJBCA_HOME/conf/web.properties dan cari httpsserver.password
   Pastikan password dan confirm password memiliki isi yang sama.
   Ketiga, tekan tombol save dan tutup tab tersebut.

   

6. Pekerjaan di halaman administration EJBCA sudah selesai. Sekarang waktunya masuk ke halaman depan EJBCA dan lakukan penerbitan.
   Arahkan pandangan ke submenu Retrieve dan pilih Fetch CA Certificates. Jika sudah, maka halaman Keystore Enrollment akan muncul di sisi sebelah kanan. Masukkan tomcat pada bagian username dan isi dengan password yang kalian masukkan saat mendaftarkan user tomcat tadi untuk penerbitan. Tekan OK jika sudah selesai.

   

7. Usai menekan tombol OK, halaman akan berubah dari Keystore Enrollment menjadi EJBCA Token Certificate Enrollment. Perhatikan bagian Options.
   Silakan kalian menentukan key length untuk sertifikat yang akan kalian terbitkan. Pada contoh kali ini, saya mengisinya dengan 2048 bits.
   Sedangkan pada bagian Certificate Profile, kalian tidak perlu mengutak-atiknya. Biarkan saja pilihannya tetap SERVER. Setelah itu tekan tombol Enroll untuk melakukan penerbitan.
   Tunggu beberapa saat dan file-nya otomatis akan terunduh ke laptop/PC kalian.

   

8. Ukuran filenya kurang lebih 5KB dengan nama tomcat.jks

   

9. Copy-kan file tomcat.jks ke dalam server EJBCA dengan cara yang kalian suka.
10. Masuk ke dalam server EJBCA via ssh.
11. Default usia dari sertifikat SSL yang digunakan untuk JBoss ini adalah 2 tahun dan tersimpan di dalam direktori $JBOSS_HOME/standalone/configuration/keystore/ dengan nama keystore.jks
    Silakan copy file tomcat.jks yang sudah kalian kirim ke server EJBCA dan ubah dengan nama keystore.jks. File lama dengan nama yang sama bisa kalian ubah namanya atau hapus saja. Perintahnya:

    cd $JBOSS_HOME/standalone/configuration/keystore/
    ls
    mv keystore.jks keystore.jks.old
    mv /home/xxxx/tomcat.jks keystore.jks

    

    Jangan lupa ubah owner-nya menjadi sama dengan owner yang menjalankan service Jboss.

12. Jika sudah, restart service JBoss dan pastikan service-nya berjalan dengan baik. Pantau log-nya di $JBOSS_home/standalone/log/server.log

    cd $JBOSS_HOME/bin
    nohup ./standalone.sh -b 0.0.0.0 -bmanagement=0.0.0.0 &
    tail -100f $JBOSS_HOME/standalone/log/server.log

    

    

13. Kembali akses halaman administration EJBCA dan voilaaa, sertifikat SSL sudah berhasil diperbarui

    

Via CLI 1

Jika dirasa cara memperbarui sertifikat via GUI terlalu panjang, cobalah melalui CLI yang lebih simple. Tahapannya adalah seperti berikut:

1. Masuk ke dalam server EJBCA
2. Pindah ke dalam direktori $EJBCA_HOME
3. Eksekusi perintah berikut

   cd $EJBCA_HOME
   bin/ejbca.sh ra setendentitystatus tomcat 10
   bin/ejbca.sh ra setclearpwd tomcat <password>
   bin/ejbca.sh batch tomcat
   cp p12/tomcat.jks $JBOSS_HOME/standalone/configuration/keystore/keystore.jks

   Usahakan password yang kalian masukkan sama dengan yang berada di httpsserver.password pada file $EJBCA_HOME/conf/web.properties

4. Restart JBoss dengan cara yang sama pada bagian “via GUI”, pastikan lognya berjalan dengan baik, dan silakan akses halaman Administration EJBCA untuk melihat perubahan masa berlaku sertifikat SSL.

Via CLI 2

Cara yang terakhir ini adalah yang paling pendek dan memang saya sengaja menuliskannya di bagian akhir. Tahapannya jauh lebih pendek dari “via CLI 1”, yaitu dengan perintah ant. Caranya:

cd $EJBCA_HOME
ant renew-keystore
cp p12/tomcat.jks $JBOSS_HOME/standalone/configuration/keystore/keystore.jks

Pada tahapan ant renew-keystore, kalian akan diminta untuk memasukkan password  untuk truststore dan keystore. Masukkan sesuai dengan yang ada pada $EJBCA_HOME/conf/web.properties. 

Hanya 1 kali itu saja kalian diminta untuk memasukkan password, selebihnya kalian diminta untuk menunggu hingga prosesnya selesai.

Jika sudah menjalankan perintah tersebut, jangan lupa untuk me-restart service JBoss dengan cara yang sama pada bagian “via GUI”, pastikan lognya berjalan dengan baik, dan silakan akses halaman Administration EJBCA untuk melihat perubahan masa berlaku sertifikat SSL.

*****

Itu tadi beberapa cara untuk memperbarui sertifikat SSL yang sudah habis masa berlakunya. Silakan pilih yang kalian suka ya. Sampai jumpa di tulisan selanjutnya

Catatan: Sudah diuji coba pada EJBCA versi 6.2.0 dan 6.15.1.2 

The post Memperbarui Sertifikat SSL EJBCA yang Expired first appeared on GoBlog.

2 penghalang yang paling besar adalah biaya dan proses manual dalam mendapatkan sertifikat tersebut. Tepi sekarang, dengan Let’s Encrypt, Kedua hal tersbeut bukan lagi menjadi masalah. Let’s Encrypt membuat enkripsi SSL/TLS menjadi gratis untuk semua orang.

• Baca juga: Belajar Menulis Cerita Bersama Agustinus Wibowo

Apa sih Let’s Encrypt itu? Merupakan sebuah Certification Authority (CA) yang menyediakan sertifkat sertifikat SSL/TLS secara gratis. Sertifikat yang dikeluarkan oleh Let’s ENcrypt sudah dipercaya oleh hampir semua browser sekarang ini, termasuk browser yang sudah tua seperti Internet Explorer di Windows XP SP3. Sebagai tambahan, Let’s Encrypt sudah sepenuhnya otomatis, baik dalam hal penerbitan atau pembaruan sertifikat.

Lalu bagaimana caranya menggunakan Let’s Encrypt pada Nginx yang berjalan di atas CentOS 8 Server? Berikut ini hasil percobaan yang saya lakukan.

Persyaratan

1. Memiliki Nginx yang terpasang di atas CentOS 8 Server.
2. Memiliki akses penuh terhadap nama domain yang ingin dipasangkan sertifikat SSL/TLS.
3. Membuat DNS Record yang terhubung dengan nama domain dan IP publik server kalian

Tahapan

1. Memasang klien Certbot Let’s Encrypt

Pertama, kalian harus masuk terlebih dahulu ke server CentOS 8 kalian dengan perintah:

ssh <user>@<Server_IP>

Paket Certbot tidak otomatis tersedia secara default dalam pakcage manager. Untuk itu kalian harus menambahkan repository EPEL untuk memasang Certbot. Caranya:

sudo dnf install epel-release

Ketika ditanyakan konfirmasi untuk melakukan instalasi, ketik Y.

Sekarang kalian sudah memiliki akses ke repositori tambahan tersebut. Install beberapa paket yang dibutuhkan berikut:

sudo dnf install certbot python3-certbot-nginx

Perintah di atas akan memasang Certbot dan plugin Nginx untuk Certbot, yang mana dibutuhkan untuk menjalankan program.

Proses instalasi akan menanyakan kalian tentang mengimpor GPG Key. Konfirmasi hal tersebut sehingga instalasi dapat diselesaikan. Sekarang kalian sudah memasang klien Let’s Encrypt.

Namun sebelum mendapatkan sertifikat, kalian terlebih dahulu harus memastikan semua port yang dibutuhkan sudah terbuka. Untuk melakukan hal tersebut, kalian perlu mengupdate pengaturan firewall pada tahap selanjutnya.

2. Mengupdate Pengaturan Firewall

Untuk menggunakan Certbot, pastikan port http dan https terbuka. Cara untuk membukanya di firewall adalah dengan menjalankan perintah:

sudo firewall-cmd --permanent --add-service=http
sudo firewall-cmd --permanent --add-service=https
sudo firewall-cmd --reload

Sekarang kalians sudah siap untuk menjalankan Certbot dan mendapatkan sertifikat.

3. Memperoleh Sertifikat

Sekarang kalian dapat melakukan permintaan penerbitan sertifikat SSL untuk domain kalian.

Ketika mengeluarkan sertifikat SSL untuk NGINX menggunakan klien Certbot, klien tersebut akan secara otomatis memperoleh sertifikat tersebut dan memasang sertifkat SSL yang baru dan valid untuk domain yang yang dimasukkan ke dalam parameter. Caranya:

sudo certbot --nginx -d <domain_kalian> -d www.<domain_kalian>

Sertifikat yang dihasilkan berada di sebuah direktori setelah nama domain kalian pada direktori /etc/letsencrypt/live.

4. Memasang Sertifikat

Usai mendapatkan sertifikat SSL, tahap selanjutnya adalah memasangnya. Letakkan sertifikat tadi di dalam konfigurasi Nginx seperti berikut:

Jika sudah. Uji konfigurasi nginx terlebih dahulu dan kemudian restart service nginx. Caranya:

nginx -t
service nginx restart
service nginx status

Sekarang sudah selesai menggunakan Certbot, kalian bisa memeriksa status SSL sertifikat. Verifikasi status sertifikatnya dengan membuka link berikut pada browser kalian.

https://www.ssllabs.com/ssltest/analyze.html?d=domain_kamu

Kalian sudah bisa mengakses web kalian dengan awalan https. Namun, kalian harus memperbarui sertifikat secara rutin untuk membuatnya tetap berjalan. Dalam tahap berikutnya, kalian akan tahu cara memperbaruinya secara otomatis.

5. Pengaturan Auto-Renewal

Sertifikat Let’s Encrypt valid untuk 90 hari, tapi sangat direkomendasikan untuk kalian memperbaruinya setiap 60 jari untuk memberi toleransi pada margin of error. Klien Certbot Let’s Encrypt memiliki perintah renew yang secara otomatis memeriksa status sertifikat yang terinstal dan mencoba untuk memperbarui jika masa aktifnya kurang dari 30 hari waktu kadaluarsa.

Sebelum mengaplikasikanya, kalian bisa mengujicoba terlebih dahulu. Caranya:

sudo certbot renew --dry-run

Cara paling praktis untuk memastikan sertifikat kalian tidak kadaluarsa adalah dengan membuat cronjob yang secara periodik akan menjalankan perintah pembaruan sertifikat secara otomatis untuk kalian.

Karena eksekusi pembaruan sertifikat hanya dilakukan jika waktunya kurang dari 30 hari, akan lebih aman jika pemeriksaan dilakukan setiap minggu atau bahkan setiap hari.

Untuk membuat crontab yang akan memeriksa kadaluarsa sertifikat setiap siang, edit crontab dan tambahkan konfigurasi berikut:

crontab -e

Isinya:

0 12 * * * /usr/bin/certbot renew --quiet

Jika sudah selesai, simpan dan tutup file konfigurasinya. Perintah renew akan memeriksa semua sertifikat yang terpasang pada sistem dan mengupdate setiap sertifikat yang akan kadaluarsa dalam waktu kurang dari 30 hari.

*****

Itu tadi cara menggunakan sertifikat SSL/TLS Let’s Encrypt untuk server kalian. Semoga tulisan ini berguna ya.

Tulisan ini juga bertujuan untuk menggantikan tutorial lama (DI SINI) yang sudah tak lagi berlaku.

The post Menggunakan Sertifikat Let’s Encrypt SSL/TLS (Gratis) dengan Nginx pada CentOS 8 first appeared on GoBlog.