“Duh, kalau itu saya harus coba dulu pak. Secara teori, hal tersebut sangat dimungkinkan. Semua jenis file bisa ditandatangani secara elektronik, hanya saja (mungkin) caranya yang tidak sama.” Jawab saya.

Usai menjawab pertanyaan tersebut, saya pun langsung mencari tahu cara untuk menandatangani file archive dan ternyata memang bisa. Sesuai perkiraan saya, caranya pun sedikit berbeda. Kalau file dokumen seperti doc, docx, xlsx, & pdf yang biasa saya tanda tangani, tanda tangan elektroniknya langsung melekat di atas file dan bisa langsung diverifikasi dengan aplikasi semacam Adobe Acrobat atau aplikasi office. Sedangkan untuk archive ini, akan muncul 1 file baru yang nantinya akan dibandingkan dengan archive yang lama. Jika cocok, maka file tidak mengalami perubahan. Namun jika tidak, maka dapat dipastikan archive tersebut sudah mengalami perubahan.

• Baca juga: Cara Mencabut Sertifikat Elektronik pada EJBCA

Salah satu fungsi dari penggunaan tanda tangan elektronik pada sebuah file adalah untuk menjaga keaslian file tersebut. Sebab bila file yang sudah ditandatangani diubah, sudah pasti tanda tangan elektronik di atasnya akan hilang.

Daripada bingung dengan penjelasan saya yang agak rumit tadi, lebih baik langsung ke prakteknya saja ya.

1. Saya punya 2 file. Yang pertama adalah file archive bernama dailyvoyagers_com.zip yang mau saya tandatangani. Kedua adalah file PKCS 12 bernama darius1.p12 yang merupakan sertifikat elektronik kepunyaan saya.

   

2. Apabila saya ekstrak, isi dari dailyvoyagers_com.zip adalah dailyvoyagers_com.ca-bundle dan dailyvoyagers_com.crt

   

3. Untuk menandatangani sebuah file, kalian perlu menggunakan private key (key). Untuk memverifikasinya, kalian perlu menggunakan public key (certificate). Nah, pada kesempatan kali ini, saya hanya mempunyai sebuah file PKCS 12 dimana private key dan public key-nya “menyatu” di dalamnya. Untuk itu, saya perlu memecah file tersebut, jalankan perintah berikut di terminal:
   Private key

   openssl pkcs12 -in <file.p12> -nocerts -out <nama_private_key.pem>

   

   Public Key

   openssl rsa -in <kunci_privat.pem> -passin pass:<password_kunci_privat> -pubout -out <Nama_kunci_publik.pem>

   

   Selama proses ekstraksi, kalian akan diminta untuk memasukkan password. Password tersebut adalah password pembungkus dari file PKCS 12 yang kalian miliki. Masukkan password tersebut dengan benar. Karena jika salah, maka proses ekstraksi akan gagal.

4. Dari proses di atas, terbentuklah 2 file baru bernama privatDarius.pem yang merupakan kunci privat saya dan publikDarius.pem yang merupakan kunci publik milik saya. Jadi sekarang sudah ada 4 file dalam folder saya

   

    

Penandatanganan

Untuk menandatangani archive (dailyvoyagers_com.zip), kalian masih menggunakan perintah openssl dan membutuhkan kunci privat (privatDarius.pem). Caranya:

openssl dgst -sha256 -sign <kunci_privat.pem> -out <Nama_file_keluarannya> <nama_file_yang_mau_ditandatangani>

*Pada saat ingin menandatangani, kalian akan diminta untuk memasukkan password dari kunci privat yang kalian set saat ekstraksi tadi. Pastikan kalian memasukkannya dengan benar

Sekarang terbentuklah sebuah file baru dengan nama dailyvoyagers_com.zip.sig yang merupakan hash dari file dailyvoyagers_com.zip yang berhasil ditandatangani.

Verifikasi

Untuk memverifikasi archive yang sudah ditandatangani (dailyvoyagers_com.zip.sig), kalian masih menggunakan perintah openssl dan membutuhkan kunci publik (publikDarius.pem). Caranya:

openssl dgst -sha256 -verify <kunci_publik.pem> -signature <nama_file_yang_ditandatangani> <nama_file_yang_lama> 

Dari gambar di atas, bisa dilihat kalau verifikasi berjalan dengan lancar sebab tertulis Verification OK. Jika tidak, maka yang akan tertulis adalah Verification Failure.

Mari kita uji ulang dengan cara mengekstrak file dailyvoyagers_com.zip → menghapus file dailyvoyagers_com.crt → mengkompresi kembali dengan nama dailyvoyagers_com.zip → memverifikasinya. Maka hasil yang didapat adalah sebagai berikut:

Kenapa bisa terjadi seperti itu? Karena isinya sudah berbeda dan hash-nya pun berbeda.

Troubleshoot

Bila kalian menemui masalah seperti ini

Hal tersebut karena openssl dgst -sha256 -verify publikDarius.pem mengharapkan publikDarius.pem berada dalam format X.509. Sayangnya, kunci publik yang saya contohkan di atas tidak berada dalam format tersebut. Sebenarnya, RAW Format itu ada di dalam file publikDarius.pem hanya saja perintah openssl dgst itu tidak bisa memprosesnya secara lengkap sekaligus.

Untuk memperbaiki masalah tersebut, maka kita harus mengekstraknya dari certificate yang sudah ada. Caranya:

openssl x509 -pubkey -noout -in <kunci_publik.pem> > <kunci_publik_baru.pem>

Setelah berhasil, jalankan kembali proses verifikasi, namun dengan menggunakan kunci publik yang sudah dalam format baru (X.509).

Sudah beres, kan? unable to load key itu biasanya terjadi karena pengguna membuat kunci publik dengan cara:

openssl pkcs12 -in <file.p12> -clcerts -nokeys -out <kunci_publik.pem>

dan bukan seperti yang saya contohkan di atas. Memang sama-sama kunci publik, hanya saja formatnya yang berbeda.

The post Cara Menandatangani Archive dan Memverifikasinya first appeared on GoBlog.

Tidak hanya itu, dengan Signserver Validators, kalian bisa memvalidasi dokumen, yang didukung dengan fitur CRL ataupun OCSP.  Fitur lengkap dari Signserver bisa langsung dibaca DI SINI.

Sebelum memulai proses instalasi Signserver, ada baiknya bila kalian mempersiapkan kopi satu gelas dan beberapa alat, serta bahan berikut:

Alat dan Bahan

1. Apache ANT 1.9.7 → Cara installnya bisa dilihat DI SINI
2. Signserver CE 4.0.0 → Download DI SINI
3. WildFly 10.1.0 Final → Download DI SINI
4. MariaDB Java Client 2.1.0 → Download DI SINI
5. OpenJDK 8
6. JCE Policy 8 → Download DI SINI

*Setelah berhasil mengunduh semua file di atas, letakkan di dalam folder /opt.

Spek Server yang Digunakan

1. RAM = 2 GB
2. CPUs = 2
3. Harddisk = 50 GB
4. OS = CentOS 6.10

Tahap Awal

Pengaturan FQDN

Pertama kali yang kalian lakukan adalah Setting FQDN-nya terlebih dahulu, caranya:

vi /etc/hosts

Konfigurasi Firewall

Tidak berbeda jauh dengan EJBCA, Signserver pun menggunakan port 8080, 8442, 8443 untuk servisnya. Yang lainnya merupakan port internal (3306 untuk MySQL, 9990 untuk JBoss Admin, dll). Kita tidak perlu mengubah port tersebut pada aplikasi Signserver secara langsung.

Jika kita mau menggunakan port standar yang digunakan WEB, silahkan atur Port Forwarding pada iptables. Kita bisa melakukannya dengan cara:

vi /etc/sysconfig/iptables

kemudian masukkan:

#### Start Iptables ####

*filter
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [34:14652]
-A INPUT -p tcp -m tcp –dport 8008 -j ACCEPT
-A INPUT -p tcp -m tcp –dport 4447 -j ACCEPT
-A INPUT -m state –state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -i eth0 -p tcp -m state –state NEW -m tcp –dport 8080 -m mark –mark 0x64 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 80 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 8080 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 8443 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 8442 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 443 -j ACCEPT
-A INPUT -p tcp -m state –state NEW -m tcp –dport 22 -j ACCEPT
-A INPUT -j REJECT –reject-with icmp-host-prohibited
-A FORWARD -j REJECT –reject-with icmp-host-prohibited
COMMIT

*nat
:PREROUTING ACCEPT [1928198:538190860]
:POSTROUTING ACCEPT [239877:14576705]
:OUTPUT ACCEPT [239877:14576705]
-A PREROUTING -i eth0 -p tcp -m tcp –dport 80 -m mark –mark 0x64 -j DNAT –to-destination :8080
COMMIT

*mangle
:PREROUTING ACCEPT [5793867:3540661671]
:INPUT ACCEPT [5504145:3514609021]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [4546890:3055306048]
:POSTROUTING ACCEPT [4546890:3055306048]
-A PREROUTING -i eth0 -p tcp -m tcp –dport 80 -j MARK –set-xmark 0x64/0xffffffff
COMMIT

 Setelah melakuan konfigurasi, untuk mengaktifkan iptables tersebut maka lakukan perintah berikut:

sh -c 'iptables-restore -t < /etc/sysconfig/iptables'

Instalasi Beberapa Paket

Kalian membutuhkan java agar software ini dapat running. Oleh sebab itu, kalian harus menginstalnya terlebih dahulu. Versi OpenJDK yang harus diinstal adalah versi 8. Caranya:

yum -y install java-1.8.0-openjdk java-1.8.0-openjdk-devel

Setelah selesai melakukan instalasi openjdk-8, tahapan selanjutnya adalah memilih java-1.8.0 tadi sebagai default. Caranya:

alternatives --config java

dan untuk lebih memastikan agar kita tidak salah memilih versi java yang akan kita gunakan, jalankan perintah:

java -version

Setelah itu, kita akan sedikit me-replace beberapa file yang ada di /usr/lib/jvm/java-1.8.0-openjdk.x86_64/jre/lib/security. 2 file yang harus di replace adalah local_policy.jar dan US_export_policy.jar.

Bagaimana cara me-replace-nya?

1. Download JCE pada link yang sudah saya sertakan di atas.
2. Setelah berhasil di download, ekstrak file tersebut dan kamu akan menemukan sebuah folder bernama jce_policy-8. Cara ekstraknya adalah seperti berikut:

   cd /opt
   unzip jce_policy-8.zip

3. Setelah berhasil di ekstrak, copy-kan 2 file yang sudah saya sebutkan di atas ke dalam folder/usr/lib/jvm/java-1.8.0-openjdk.x86_64/jre/lib/security. Caranya:

   cp jce_policy-8/UnlimitedJCEPolicyJDK8/local_policy.jar /usr/lib/jvm/java-1.8.0-openjdk.x86_64/jre/lib/security
   cp jce_policy-8/UnlimitedJCEPolicyJDK8/US_export_policy.jar/usr/lib/jvm/java-1.8.0-openjdk.x86_64/jre/lib/security
   

Instalasi dan Konfigurasi MariaDB

Tahap berikutnya kita harus melakukan instalasi database kemudian konfigurasi. Konfigurasi yang saya lakukan disini hanyalah konfigurasi biasa tanpa security yang cukup baik (hanya untuk keperluan percobaan). Untuk kalian yang ingin mengimplementasikannya di production, pastikan mengamankan direktori mysql dan meng-update /etc/mysql/my.cnf sebelum menjalankan service database. Konfigurasi ini juga menggunakan utf-8 encoding. Mari kita mulai instalasinya terlebih dahulu:

• Baca juga Cara mengelola CA pada EJBCA 6.10.1.2

Untuk melakukan instalasi mariaDB 10.2 (stable) pada CentOS 6.10. Tambahkan dulu repositorinya dengan cara:

# MariaDB 10.2 CentOS repository list - created 2018-07-10 17:39 UTC 
#http://downloads.mariadb.org/mariadb/repositories/ [mariadb] name = MariaDB baseurl = http://yum.mariadb.org/10.2/centos6-amd64 gpgkey=https://yum.mariadb.org/RPM-GPG-KEY-MariaDB gpgcheck=1

Setelah itu update paket CentOS dan install MariaDB 10.2. Caranya:

yum update
yum install MariaDB-server MariaDB-client

Setelah MariaDB selesai terinstal, tahap selanjutnya adalah mengubah beberapa konfigurasi yang ada pada my.cnf. Salah satunya adalah menambahkan binlog_format=row. Kalau menggunakan MariaDB, kemungkinan servicenya menolak untuk berjalan karena InnoDB tidak bisa memproses log binary-nya. Tambahkan binlog_format=row seperti konfigurasi di bawah untuk memecahkan masalah tersebut. Tambahkan juga beberapa item lain yang belum ada di my.cnf  kalian ya.

vi /etc/mysql/my.cnf

[client]
 port                    = 3306
 socket                  = /var/run/mysqld/mysqld.sock
 default-character-set   = utf8

[mysqld]
 user                    = mysql
 socket                  = /var/run/mysqld/mysqld.sock
 port                    = 3306
 basedir                 = /usr
 datadir                 = /var/lib/mysql
 tmpdir                  = /tmp
 lc_messages_dir         = /usr/share/mysql
 lc_messages             = en_US
 skip-external-locking

#UTF-8
 character-set-server    = utf8
 collation-server        = utf8_unicode_ci
 init-connect            = 'SET NAMES utf8'

bind-address             = 127.0.0.1
#Binary Logging
 log_bin                 = /var/log/mysql/mariadb-bin
 log_bin_index           = /var/log/mysql/mariadb-bin.index
 binlog_format           = ROW
 expire_logs_days        = 10
 max_binlog_size         = 100M
 server-id               = 1
 slow_query_log_file     = /var/log/mysql/mariadb-slow.log
 long_query_time         = 10

Setelah beres, jangan lupa untuk mengubah kepemilikan my.cnf tersebut menjadi milik mysql. caranya:

sudo chown mysql:mysql /etc/mysql/my.cnf

Pada konfigurasi my.cnf di atas, kita memasukkan lokasi untuk meletakkan log. Untuk mengamankan log tersebut (karena log tersebut mengandung data sertifikat kita), maka kita harus mengatur izin yang terbatas soal siapa yang bisa mengaksesnya. Caranya:

chown -R mysql:mysql /var/log/mysql
chmod -R 750 /var/log/mysql/

Setelah MariaDB terinstall dan konfigurasi dilakukan, tahap selanjutnya adalah me-restart service database, membuat database untuk Signserver CE 4.0.0, dan juga sebuah user untuk mengakses database Signserver tersebut (jangan menggunakan user root untuk Signserver dalam mengakses database-nya). Caranya:

service mysql restart

mysql -u root -p
create database <nama_db> CHARACTER SET utf8 COLLATE utf8_general_ci;

grant all privileges on <nama_db>.* to '<user>'@'<ip>' identified by '<password>'; flush privileges; exit

Kalau sudah, lakukan verifikasi dengan cara login dengan menggunakan user yang baru saja kita buat tadi dan test aksesnya. Caranya:

mysql -u <user_db> -p
use <db_signserver>;
show grants for '<user_db>@'<ip>';
exit

Pada bagian akhir, restart service database tersebut dengan perintah:

service mysql restart

Membuat Struktur Direktori

Sekarang kalian akan membuat struktur direktori dari aplikasi itu sendiri. Saya memutuskan untuk meletakkan aplikasi-aplikasi yang saya butuhkan pada /opt. Secara default, Semua dokumentasi Signserver mengasumsikan kalian melakukan instalasi pada home direktori. Namun saya lebih senang untuk menggunakan simbolik link agar lebih mudah.

• /opt kalian gunakan untuk meletakkan semua file sehingga kalian bisa dengan mudah menghapusnya dan memulai lagi dari awal.
• Download WildFly 10.1.0 dan Signserver CE 4.0.0 dengan wget (link ada di “alat & bahan”) dan letakkan pada /opt.

Setelah semua file terdownload (dalam bentuk zip), lalu ekstrak dan buat beberapa link sebagai shortcut untuk menuju folder tersebut. Caranya:

sudo unzip wildfly-10.1.0.Final.zip
sudo unzip signserver-ce-4.0.0.zip
sudo ln -s /opt/signserver-ce-4.0.0 signserver
sudo ln -s /opt/wildfly-10.1.0.Final jboss

ketik perintah berikut

cd /home/user

vi .bashrc

dan masukkan beberapa path berikut ini:

export JAVA_HOME=/usr/lib/jvm/java-1.8.0-openjdk.x86_64/
export PATH=$PATH:$JAVA_HOME/bin

export JBOSS_HOME=/opt/jboss
export PATH=$PATH:$JBOSS_HOME/bin

export APPSRV_HOME=/opt/jboss
export PATH=$PATH:$JBOSS_HOME/bin

export ANT_OPTS="-Xmx512m -XX:MaxPermSize=128m"

export SIGNSERVER_HOME=/opt/signserver
export PATH=$SIGNSERVER_HOME/bin:$PATH

export SIGNSERVER_NODEID=node1

Menambahkan Database Driver ke dalam Wildfly

Kita akan melakukan hot-deploying pada penambahan driver database kali ini yaitu dengan memasukkannya secara langsung ke dalam direktori deployment. Driver tersebut akan diambil dan di deploy secara otomatis ketika Wildfly dijalankan.

Untuk mempermudah, kita akan meng-copy file driver tersebut dan mengubah namanya menjadi baru, tanpa ada embel-embel versi drivernya. Caranya:

cp mariadb-java-client-2.1.0.jar /opt/jboss/standalone/deployments/mariadb-java-client.jar
ls

• /opt/jboss/ merupakan sebuah link yang saya buat untuk /opt/wildfly-10.0.0.final
• Link driver database sudah saya sertakan di awal tutorial.

Konfigurasi Wildfly Instance (Standalone)

Pertama, kita akan melakukan konfigurasi Instance yang nanti akan digunakan oleh Signserver CE 4.0.0. Namanya “standalone”, dan hadir secara default dalam Wildfly 10.1.0.Final

Pada direktori /opt/jboss/bin terdapat sebuah script yang bernama standalone.sh yang merupakan titik utama dari Wildfly. Script ini memberi referensi pada sebuah file konfigurasi yang terletak pada folder yang sama bernama standalone.conf. Kita tidak akan memodifikasi script startup-nya, tapi kita perlu untuk memodifikasi file konfigurasinya.

Sebagai langkah awal, kita akan mem-backup file konfigurasi defaultnya terlebih dahulu. Caranya:

cd /opt/jboss/bin
cp standalone.conf standalone.conf.bak

File konfigurasi tersebut juga berisi satu set option JVM yang nantinya akan kita ubah sedikit. Ini bukanlah perubahan yang wajib, tapi perubahan tersebut dapat mengalokasikan memori lebih pada JVM.

• Ada beberapa entri yang dinonaktifkan, namun yang penting di sini adalah JAVA_HOME dan JAVA_OPTS.

Secara default, direktori JAVA_HOME belum di set dan JAVA_OPTS hanya mengizinkan penggunaan memori sebesar 512Mib. Ubah kedua parameter tersebut menjadi seperti berikut:

File konfigurasi tersebut juga berisi satu set option JVM yang nantinya akan kita ubah sedikit. Ini bukanlah perubahan yang wajib, tapi perubahan tersebut dapat mengalokasikan memori lebih pada JVM.

• Ada beberapa entri yang dinonaktifkan, namun yang penting di sini adalah JAVA_HOME dan JAVA_OPTS.

Secara default, direktori JAVA_HOME belum di set dan JAVA_OPTS hanya mengizinkan penggunaan memori sebesar 512Mib. Ubah kedua parameter tersebut menjadi seperti berikut:

vi standalone.conf

JAVA_HOME=/usr/lib/jvm/java-1.8.0-openjdk.x86_64/
JAVA_OPTS="-Xms1024m -Xmx1024m -Djava.net.preferIPv4Stack=true"

Starting Wildfly

Beberapa tweak harus kalian lakukan setelah Wildfly berjalan. Karena beberapa perintah di atas ada yang dijalankan sebagai root, kalian akan membuat user io menjadi owner dari folder wildfly yang sudah kalian extract.

Maka jalankan perintah berikut:

chown -R io:io /opt/wildfly-10.1.0.Final

Sekarang dengan user io, kalian akan mengeksekusi file standalone.sh yang berada pada folder jboss. Langkah-langkahnya adalah sebagai berikut:

cd /opt/jboss/bin
nohup ./standalone.sh -b 0.0.0.0 -bmanagement=0.0.0.0 &

• &” digunakan agar jboss tetap berjalan saat kita keluar dari terminal.
• “-b” adalah opsi untuk menentukan jboss.bind.address.
• “0.0.0.0” berarti dapat diakses dari IP manapun.

dari log diatas dapat dihasilkan beberapa poin, yaitu:

• JBoss Admin Page dapat diakses dari IP manapun melalui browser.
• alamat default URL untuk JBoss Admin tersebut adalah http://<ip atau domain>:9990/console/App.html
• Ketika kita melihat proses ini pada log  → “started xxx of xxx services”  , maka JBoss sudah berjalan.

Konfigurasi User Admin untuk Wildfly Web

apabila kita mengakses console Wildfly via web pada tahap ini melalui http://<ip atau domain>:9990 maka yang tampil adalah seperti berikut:

Hal itu disebabkan oleh belum adanya admin User yang dibuat untuk mengakses console tersebut. Untuk itu kita perlu membuatnya. Caranya:

cd /opt/jboss/bin
sh add-user.sh

Maka akan muncul pertanyaan seperti berikut:

What type of user do you wish to add?
 a) Management User (mgmt-users.properties)
 b) Application User (application-users.properties)
(a):

Enter the details of the new user to add.
Using realm 'ManagementRealm' as discovered from the existing property files.
Username : xxxx
Password recommendations are listed below. To modify these restrictions edit the add-user.properties configuration file.
 - The password should be different from the username
 - The password should not be one of the following restricted values {root, admin, administrator}
 - The password should contain at least 8 characters, 1 alphabetic character(s), 1 digit(s), 1 non-alphanumeric symbol(s)
Password :
WFLYDM0101: Password should have at least 1 digit.
Are you sure you want to use the password entered yes/no? yes
Re-enter Password :
What groups do you want this user to belong to? (Please enter a comma separated list, or leave blank for none)[ ]:
About to add user 'jadmin' for realm 'ManagementRealm'
Is this correct yes/no? yes
Added user 'xxxx' to file '/opt/wildfly-10.1.0.Final/standalone/configuration/mgmt-users.properties'
Added user 'xxxx' to file '/opt/wildfly-10.1.0.Final/domain/configuration/mgmt-users.properties'
Added user 'xxxx' with groups to file '/opt/wildfly-10.1.0.Final/standalone/configuration/mgmt-groups.properties'
Added user 'xxxx' with groups to file '/opt/wildfly-10.1.0.Final/domain/configuration/mgmt-groups.properties'
Is this new user going to be used for one AS process to connect to another AS process?
e.g. for a slave host controller connecting to the master or for a Remoting connection for server to server EJB calls.
yes/no? no

• “What type of user do you wish to add?” → isi dengan “a”
• “Realm” → enter saja.
• “username” → Isi dengan username yang kalian mau.
• “Password” → Isi dengan password yang kalian mau.
• “Re-Enter Password” → Ulangi kembali dengan password yang sama.
• “is this correct” → pilih “yes”
• “is this new user going to …..” → pilih “no”

Pada saat ini seharusnya kita sudah bisa mengakses interface dari Wildfly Web Console dan mengganti beberapa item. Namun pada saat ini kita belum perlu untuk mengganti apapun:

• Ini adalah user spesifik untuk JBoss yang tidak digunakan dimanapun.
• Ini adalah tahapan yang bagus untuk mengambil snapshot vm.

Sekarang mari kita coba user tersebut. caranya masuk ke browser dan ketikkan http://<ip atau domain>:9990/console/App.html. Maka akan muncul tampilan seperti berikut:

Masukkan username dan password sesuai dengan yang baru saja kita input. Apabila benar maka akan muncul tampilan seperti berikut:

Menambahkan Data Source

Sekarang service Wildfly sudah berjalan, kini kita bisa menambahkan data source. Kita akan melakukan ini melalui CLI-nya JBoss, yang akan mengupdate konfigurasi yang berada pada file Standalone.xml. Sebelum melakukan perubahan maka ada baiknya kita membackup konfigurasi awal terlebih dahulu. Caranya (masih dengan user jboss):

cd /opt/jboss/standalone/configuration
cp standalone.xml standalone.xml.bak

Sekarang kita akan menuju JBoss CLI dan melakukan beberapa perubahan. Caranya:

cd /opt/jboss/bin
sh jboss-cli.sh
connect

Lalu jalankan perintah berikut:

data-source add --name=SignServerDS --driver-name="mariadb-java-client.jar" --connection-url="jdbc:mysql://127.0.0.1:3306/signserver" --jndi-name="java:/SignServerDS" --use-ccm=true --driver-class="org.mariadb.jdbc.Driver" --user-name="signserver" --password="signserver" --validate-on-match=true --background-validation=false --prepared-statements-cache-size=50 --share-prepared-statements=true --min-pool-size=5 --max-pool-size=150 --pool-prefill=true --transaction-isolation=TRANSACTION_READ_COMMITTED --check-valid-connection-sql="select 1;"
:reload

Setelah perintah tersebut dieksekusi maka hasil keluarannya adalah “Success” (seperti pada gambar di bawah).

Hal yang kita lakukan pada CLI ini mendefinisikan driver mariadb dan koneksi yang ada pada /opt/jboss/standalone/configuration/standalone.xml, kemudian me-reload JBoss.

Hasilnya akan terlihat pada standalone.xml seperti gambar berikut:

Sebagai bukti lagi kalau connector tersebut sudah masuk, kita akan melihat pada log yang tertera di file nohup.out yang ada pada folder /opt/jboss/bin. Namun sebelumnya kita harus me-restart service wildfly yang sedang berjalan. Caranya:

cd /opt/jboss/bin
ps -ax | grep jboss
kill <nomor pada ps-ax>
nohup ./standalone.sh -b 0.0.0.0 -bmanagement=0.0.0.0 &
tail -100f nohup.out

Ketika kalian menemukan org.mariadb.jdbc.driver, maka datasource tersebut sudah dapat dipastikan masuk.

Datasource Password

Untuk mengamankan password yang ada pada SignServerDS di atas agar tidak plain text pada saat ditampilkan di /opt/jboss/standalone/configuration/standalone.xml (Guna meningkatkan keamanan sistem), Jalankan perintah berikut:

• Ganti PASSWORDLO dengan password database di atas.

java -cp /opt/jboss/modules/system/layers/base/org/picketbox/main/picketbox-4.9.4.Final.jar:/opt/jboss/modules/system/layers/base/org/jboss/logging/main/jboss-logging-3.3.0.Final.jar:$CLASSPATH org.picketbox.datasource.security.SecureIdentityLoginModule PASSWORDLO

• copy dan paste encoded password di atas ke file standalone.xml:

vi /opt/jboss/standalone/configuration/standalone.xml

• Paste segmen berikut pada segmen security-domains (dengan mengganti PASSWORDLO_ENC menjadi encoded password yang kita dapatkan dari perintah di atas dan USERLO dengan user untuk terkoneksi ke database)

<security-domain name="SignServerDSEncryptedPassword">
 <authentication>
 <login-module code="SecureIdentity" flag="required">
 <module-option name="username" value="USERLO"/>
 <module-option name="password" value="PASSWORDLO_ENC"/>
 </login-module>
 </authentication>
</security-domain>

• Lihat bagian SignServerDs datasource dan ganti segmen security (dimana PASSWORDLO adalah password lama dalam bentuk plain text):

<security>
 <user-name>USERLO</user-name>
 <password>PASSWORDLO</password>
</security>

• Dengan bentuk berikut:

<security>
 <security-domain>SignServerDsEncryptedPassword</security-domain>
</security>

Restart kembali JBOSS

cd /opt/jboss/bin 
ps -ax | grep jboss kill <nomor pada ps-ax> 
nohup ./standalone.sh -b 0.0.0.0 -bmanagement=0.0.0.0 & 
tail -100f nohup.out

Konfigurasi Wildfly SSL

Konfigur interfaces dengan menggunakan bind addreess yang tepat (i.e. 0.0.0.0 or 127.0.0.1)

cd /opt/jboss/bin 
sh jboss-cli.sh 
connect

/interface=http:add(inet-address="0.0.0.0")
/interface=httpspub:add(inet-address="0.0.0.0")
/interface=httpspriv:add(inet-address="0.0.0.0")

/socket-binding-group=standard-sockets/socket-binding=http:add(port="8080",interface="http")
/subsystem=undertow/server=default-server/http-listener=http:add(socket-binding=http)
/subsystem=undertow/server=default-server/http-listener=http:write-attribute(name=redirect-socket, value="httpspriv")
:reload

/subsystem=undertow/server=default-server/http-listener=default:remove
/subsystem=undertow/server=default-server/https-listener=https:remove
/socket-binding-group=standard-sockets/socket-binding=http:remove
/socket-binding-group=standard-sockets/socket-binding=https:remove
:reload

/subsystem=remoting/http-connector=http-remoting-connector:remove
/subsystem=remoting/http-connector=http-remoting-connector:add(connector-ref="remoting",security-realm="ApplicationRealm")
/socket-binding-group=standard-sockets/socket-binding=remoting:add(port="4447")
/subsystem=undertow/server=default-server/http-listener=remoting:add(socket-binding=remoting)
:reload

/socket-binding-group=standard-sockets/socket-binding=httpspriv:add(port="8443",interface="httpspriv")
/core-service=management/security-realm=SSLRealm:add()
/core-service=management/security-realm=SSLRealm/server-identity=ssl:add(keystore-path="keystore/keystore.jks", keystore-relative-to="jboss.server.config.dir", keystore-password="serverpwd", alias="localhost")
/core-service=management/security-realm=SSLRealm/authentication=truststore:add(keystore-path="keystore/truststore.jks", keystore-relative-to="jboss.server.config.dir", keystore-password="changeit")
/subsystem=undertow/server=default-server/https-listener=httpspriv:add(socket-binding="httpspriv", security-realm="SSLRealm", verify-client=REQUIRED)

/socket-binding-group=standard-sockets/socket-binding=httpspub:add(port="8442",interface="httpspub")
/subsystem=undertow/server=default-server/https-listener=httpspub:add(socket-binding="httpspub", security-realm="SSLRealm")
:reload

/subsystem=webservices:write-attribute(name=wsdl-host, value=jbossws.undefined.host)
/subsystem=webservices:write-attribute(name=modify-wsdl-address, value=true)

Konfigur Deployment

Sekarang waktunya untuk konfigurasi file pada signserver. Masuk ke dalam folder signserver kemudian copy file yang dibutuhkan. Caranya:

cd /opt/signserver
cp conf/signserver_deploy.properties.sample conf/signserver_deploy.properties
vi conf/signserver_deploy.properties

Ubah isi file tersebut menjadi seperti berikut:

appserver.home=/opt/jboss
appserver.type=jboss
datasource.jndi-name=SignServerDS
database.name=mysql
database.url=jdbc:mysql://127.0.0.1:3306/<nama_db>?characterEncoding=UTF-8
database.driver=org.mariadb.jdbc.Driver
database.username=<user_db>
database.password=<password_db>

Deploy Signserver

Untuk melakukan deploy, masuk ke dalam direktori $SIGNSERVER_HOME, lalu jalankan perintah berikut:

ant deploy

Pastikan kalau hasil yang muncul adalah “build successful”. Setelah itu, kalian bisa memeriksa status dari signserver dengan mengetikkan perintah:

bin/signserver getstatus brief all

dan untuk mengakses halaman webnya, ketikkan alamatnya pada browser:

http://localhost:8080/signserver

Itu tadi cara melakukan instalasi Signserver CE 4.0.0 pada CentOS 6.10. Semoga informasi tersebut bisa membantu kalian yang ingin mencobanya.

Sampai jumpa di Tutorial berikutnya

The post Instalasi Signserver 4.0.0 pada WildFly 10.1.0 di CentOS 6.10 first appeared on GoBlog.

Lebih parahnya lagi, apabila kita masuk ke dalam bagian Trust yang ada pada Show Signer’s Certificate, terdapat tulisan “This Certificate is not Trusted” dengan tanda silang berwarna merah pada setiap point di Trust Settings.

Tidak dipercayanya sebuah sertifikat pada aplikasi Adobe Acrobat Reader adalah hal Wajar. Kejadian tersebut bisa disebabkan karena tidak adanya Root CA Certificate pada repositori Adobe Acrobat dari sertifikat digital yang digunakan untuk melakukan signing tersebut.

Untuk mendaftarkan Root CA Certificate ke dalam repositori Adobe Acrobat sehingga sertifikat kita bisa otomatis dikenali bukanlah hal yang mudah. Salah satu syaratnya kita harus membayar sekian puluh bahkan ratusan juta rupiah untuk jangka waktu tertentu.

Apakah ada cara untuk memasukkan Root CA Certificate dari sertifikat yang kita miliki ke dalam repositori Adobe Acrobat tapi gratis? Jawabannya “ADA” yaitu dengan cara mengimpor file .PEM dari Root CA Certificate ke dalam Adobe Acrobat.

Caranya:

1. Download terlebih dahulu .PEM dari Root CA tersebut.

   

2. Setelah download. Buka Adobe Acrobat Reader →Edit →Preferences →Signatures dan pada bagian “Identities & Trusted Certificates” Pilih More.

   

3. Setelah masuk, pilih Import pada bagian Trusted Certificates.

   

4. Pilih .PEM dari Root CA yang sudah kita download tadi dan kemudian pilih Import.

   

5. Cari Root CA Cert yang sudah kita import tadi kemudian lakukan Edit Trust. Tahapan ini diperlukan agar kita otomatis mempercayai sertifikat yang dikeluarkan oleh SubCA dari Root CA ini.

   

6. Pada tahapan ini, centang saja semua kotak yang ada pada tab Trust kemudian Pilih OK.

   

7. Kembali ke bagian Edit →Preferences→Signatures namun pada bagian ini pilih Verification → More

   

8. Centang kotak-kotak yang saya beri tanda pada gambar di bawah ini. Tujuannya untuk mereview valid certificates yang untrusted dan juga mempercayai semua Root CA cert yang ada di repo ini untuk melakukan validasi dokumen

   

Setelah selesai melakukan impor Root CA Cert, sekarang kita bisa memvalidasi tanda tangan digital pada dokumen kita tadi secara otomatis. Setiap kali kita membuka dokumen dengan tanda tangan digital, maka adobe akan melakukan validasi terlebih dahulu.

Mari saya contohkan:

1. Buka file PDF dengan tanda tangan digital pada Adobe Acrobat dan pilih tanda tangan tersebut

   

2. Signature Validation Status akan muncul dan otomatis mengenali sertifikat siapa yang digunakan untuk menandatangani dokumen ini. Hal ini ditunjukkan dengan adanya tanda centang hijau dan tulisan “signature is valid”

   

3. Sekarang mari kita lihat pada bagian Signature Properties. Detail yang lebih jelas akan muncul pada bagian validity Summary

   

4. Untuk lebih detail lagi, kita bisa memilih Signer’s Certificate. Pada tahap ini kita bisa melihat hierarki dari Sertifikat yang digunakan untuk menandatangani tadi dan juga pada bagian trust settings di tab trust sudah centang hijau semua.

   

5. Untuk melihat kapan dan siapa yang melakukan validasi terhadap sertifikat digital yang digunakan untuk menandatangani, kita bisa lihat pada tab Revocation. Di sana terdapat detail dari siapa yang menandatangani OCSP Request kita dan kapan ditandatanganinya OCSP response tersebut

   

Ya itu tadi bagaimana cara memvalidasi tanda tangan digital yang Root CA Cert nya tidak terdapat dalam repositori Adobe Acrobat Reader. Semoga Informasi di atas dapat membantu.

Sampai jumpa di postingan selanjutnya

Catatan

Dalam setiap sertifikat biasanya tersimpan alamat URL dari sebuah OCSP Responder. OCSP (Online Certificate Status Protocol) merupakan sebuah protokol yang digunakan untuk mendapatkan status dari sebuah sertifikat digital (X509) secara real time, apakah sertifikat itu masih valid atau tidak. Alamat inilah yang akan dikontak oleh Adobe Acrobat untuk mendapatkan status terakhir dari suatu sertifikat.

Seandainya tidak ada OCSP, maka masih ada satu metode pengecekan lagi yaitu CRL. CRL (Certificate Revocation List) merupakan sebuah file yang berisi daftar sertifikat yang sudah direvoke. Selama sertifikat tersebut tidak ada dalam daftar CRL maka bisa dikatakan sertifikat itu masih valid. Pada setiap sertifikat PASTI ada URI untuk mendownload CRL tersebut. Adobe akan mendownload CRL dari URI yang ada pada sertifikat dan memeriksa file CRL tersebut.

Baca Juga: Instalasi EJBCA dengan HSM Luna PCIe

Berikut ini contoh Sertifikat digital yang sudah di-revoke:

The post Cara Mengimpor Private CA Certificate pada Adobe Acrobat Reader first appeared on GoBlog.

Kalau menurut Kominfo dalam websitenya Sivion menjelaskan, Tanda Tangan Digital adalah sebuah skema matematis yang memiliki keunikan dalam mengidentifikasi seorang pengirim (Subjek Hukum).

Kalau menurut Rahmat-set pada websitenya, Tanda Tangan Digital adalah satu tanda tangan elektronik yang dapat digunakan untuk membuktikan keaslian identitas pengirim dari suatu pesan atau penandatanganan dari suatu dokumen, dan untuk memastikan isi yang asli dari pesan atau dokumen itu sudah dikirim tanpa perubahan.

Kalau menurut RPM (Rancangan Peraturan Menteri) PSrE Hasil Harmonisasi 19 Desember 2016, Tanda Tangan Digital adalah tanda tangan yang terdiri atas Informasi Elektronik yang dilekatkan, terasosiasi atau terkait dengan Informasi Elektonik lainnya yang digunakan sebagai alat verifikasi dan autentikasi.

Saya rasa tiga pengertian di atas sudah cukup mudah dimengerti ya terutama penjelasan dari Rahmat.

Nah, sekarang ini saya akan mencoba untuk membubuhkan tanda tangan digital pada sebuah dokumen yang berada pada aplikasi Libre Office Writer dengan Sertifikat Digital (.p12) yang saya punya:

1. Pertama kita akan coba buka aplikasi Libre Office Writer-nya terlebih dahulu:

   

2. Kemudian kita tuliskan beberapa kalimat di atas dokumen tersebut

   

3. Sekarang kita simpan file tersebut dengan nama ttd.odt:

   

4. Sekarang saatnya kita masukkan Tanda Tangan Digital dengan menggunakan Sertifikat Digital yang sayang punya. Caranya buka File → Digital Signatures:

   

   Kalau kamu belum menyimpan file tersebut, sebuah Message Box akan muncul dan memperingatkanmu untuk menyimpan file tersebut terlebih dahulu sebelum dibubuhkan sebuah tanda tangan digital.

5. Setelah itu sebuah Digital Certificates Box akan muncul. Isinya akan kosong karena belum ada sertifikat DIgital yang digunakan untuk menandatangani dokumen ini. Pilih Sign Document untuk memilih sertifikat yang akan kamu gunakan untuk menandatangani dokumen ini:

   

6. Setelah memilih Sign Document maka sebuah box Select Certificates akan muncul yang isinya berbagai macam sertifikat digital yang bisa kita pilih untuk digunakan. Kali ini saya akan menggunakan Digital Certificates dengan nama Darius (nama saya sendiri)

   

7. Kalau dilihat pada Box di nomor 6, terdapat beberapa kolom dengan judul masing-masing. syaa akan coba menjelaskan maksud dari setiap kolom.
   Kolom Issued to adalah sebuah kolom yang berisi nama kepada siapakah sertifikat tersebut dikeluarkan.Kolom Issued by adalah sebuah kolom yang berisi nama dari sebuah CA (Certification Authority) yang mengeluarkan sertifikat tersebut.Kolom Certificate Usage adalah sebuah kolom yang berisi kegunaan dari Digital Certificates tersebut. Apakah sertifikat tersebut hanya untuk penandatanganan saja, apakah sertifikat tersebut bisa digunakan untuk tanda tangan digital dan enkripsi, dan masih banyak lagi.Kolom Expiration Date adalah sebuah kolom berisi masa aktif dari sertifikat digital tersebut.
8. Setelah memilih Sertifikat Digital yang akan digunakan, maka kolom Digital Signatures yang tadinya kosong sekarang sudah terisi oleh Sertifikat Digital yang diplih tadi:

   

   Setelah itu pilih Close.

9. Pada bagian Status Bar, akan terlihat sebuah tanda yang menunjukkan bahwa dokumen tersebut sudah ditandatangani secara digital. (Yang diberi lingkaran merah)

   

10. Klik 2x pada gambar tersebut, kemudian pilih view certificate untuk melihat detail dari sertifikat tersebut:

    

Itu tadi cara untuk membubuhkan tanda tangan digital pada dokumen yang berada di aplikasi Libre Office Writer.

Kalau pada pengertian Tanda Tangan Digital menurut Rahmat, dijelaskan bahwa fungsi tanda tangan digital ini adalah untuk “memastikan isi yang asli dari pesan atau dokumen itu sudah dikirim tanpa perubahan“.

Sekarang mari kita coba menambahkan satu karakter pada file tersebut kemudian kita simpan, kita lihat apakah tanda tangan digital tersebut masih valid atau tidak. Caranya:

1. Tambahkan karakter “1” pada dokumen tersebut sehingga tulisannya menjadi “UJI COBA TANDA TANGAN DIGITAL 1”

   

2. Icon “Tanda Tangan Digital” otomatis akan berubah dan akan ada pesan kalau dokumen ini sudah diubah:

   

3. Setelah itu, simpan perubahan tersebut (ctrl + s):

   

4. Pada saat hendak disimpan, aplikasi akan memberitahukan bahwa file yang sudah ditandatangani secara digital ini sudah mengalami perubahan. Apabila kita ingin menyimpannya maka semua tanda tangan digital yang berada pada dokumen tersebut akan hilang.

Itu tadi sedikit bukti bahwa kalau sudah ditandatangani secara digital, maka suatu dokumen tidak akan bisa dimodifikasi isinya. Jikalau sudah dimodifikasi maka tanda tangan digital yang ada di atasnya akan hilang dan tidak berlaku.

Jadi jikalau terjadi modifikasi, maka kita harus membubuhkan tanda tangan digital kembali dan file tersebut akan menjadi file baru yang sudah kembali ditandatangani (file berbeda dari yang sebelumnya)

Itu tadi sedikit tutorial dan penjelasan. Semoga postingan ini dapat membantu.

Sampai jumpa di postingan selanjutnya ya

The post Cara memberikan Tanda Tangan Digital pada Dokumen di Libre Office Writer first appeared on GoBlog.