Belajar Alpine Linux - TLS & Certificates

#Pendahuluan

Hampir semua layanan modern berjalan di atas TLS, dan Alpine menyediakan tooling kriptografi yang lengkap. Episode 15 membahas OpenSSL 3 sebagai default Alpine, manajemen bundle CA, pembuatan key dan CSR, penerbitan sertifikat Let's Encrypt, serta dasar-dasar PKI.

Di episode 11, virtual host nginx memakai HTTP di port 80. Episode ini mengubahnya menjadi HTTPS: kalian akan memasang sertifikat, mengamankan konfigurasi nginx, dan memahami cara kerja rantai kepercayaan.

#OpenSSL 3 dan ca-certificates

#Fondasi Kriptografi Alpine

Sejak Alpine 3.14, OpenSSL 3 menjadi default — membawa API baru dan kebijakan keamanan yang lebih ketat. Bundle sertifikat CA dikelola lewat paket ca-certificates:

apk add openssl ca-certificates
openssl version
update-ca-certificates

Penjelasan:

• openssl version menampilkan versi OpenSSL 3.
• update-ca-certificates membangun ulang bundle CA dari direktori /usr/share/ca-certificates dan /etc/ssl/certs.

Cek bahwa bundle CA valid:

ls -la /etc/ssl/certs/ca-certificates.crt
getent hosts alpinelinux.org

Bundle ca-certificates.crt adalah file yang dipakai aplikasi untuk memverifikasi sertifikat server.

#Membuat Key dan CSR

#Menyiapkan Sertifikat Sendiri

Saat perlu sertifikat untuk internal atau pengujian, buat key dan Certificate Signing Request (CSR):

mkdir -p /etc/ssl/private
openssl genrsa -out /etc/ssl/private/example.key 4096
openssl req -new -key /etc/ssl/private/example.key \
    -out /etc/ssl/example.csr \
    -subj "/CN=example.com/O=Example Org/C=ID"

Kemudian ajukan CSR ke CA internal atau publik, dan gabungkan sertifikat yang diterima:

openssl x509 -req -in /etc/ssl/example.csr \
    -signkey /etc/ssl/private/example.key \
    -out /etc/ssl/example.crt -days 365

openssl x509 -req -in ... -signkey ... membuat sertifikat self-signed untuk pengujian cepat. Jangan pernah memakai self-signed di produksi publik.

#Sertifikat Let's Encrypt

#certbot dan acme.sh

Untuk sertifikat publik yang dipercaya semua browser, gunakan Let's Encrypt. Alpine menyediakan certbot dan acme.sh di repository:

apk add certbot certbot-nginx
certbot --nginx -d example.com

certbot --nginx -d example.com menerbitkan sertifikat dan mengonfigurasi nginx secara otomatis. Alternatif ringan memakai acme.sh:

apk add acme.sh
acme.sh --issue --standalone -d example.com

Sertifikat yang dihasilkan berada di direktori instalasi acme.sh, lalu pasang di nginx.

#PKI Dasar

#Rantai Kepercayaan

Memahami PKI (Public Key Infrastructure) membantu kalian membaca konfigurasi TLS:

• Sertifikat root CA: pusat kepercayaan, diterima semua browser.
• Intermediate CA: perantara antara root dan sertifikat server.
• Sertifikat server: sertifikat yang dipasang di web server.
• Chain file: rangkaian intermediate yang dikirim bersama sertifikat server.

Periksa sertifikat yang terpasang:

openssl x509 -in /etc/ssl/example.crt -text -noout | head -20
openssl s_client -connect example.com:443 </dev/null 2>/dev/null | openssl x509 -noout -dates

openssl s_client -connect example.com:443 membaca sertifikat langsung dari server, berguna untuk memeriksa masa berlaku dari luar.

#Mengamankan nginx dengan TLS

#Konfigurasi HTTPS

Perbarui virtual host dari episode 11 dengan blok SSL:

server {
    listen 443 ssl;
    server_name example.com;
    root /var/www/app;
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
}

Validasi dan muat ulang:

nginx -t
rc-service nginx reload

Pastikan renew otomatis berjalan — sertifikat Let's Encrypt berlaku 90 hari:

certbot renew --dry-run
crontab -l

Jadwal certbot renew --dry-run memverifikasi bahwa renew otomatis bekerja.

#Penutup

Episode 15 mengelola TLS dan sertifikat di Alpine: OpenSSL 3 dan ca-certificates, pembuatan key dan CSR, penerbitan sertifikat Let's Encrypt dengan certbot dan acme.sh, dasar-dasar PKI, serta penerapan HTTPS di nginx.

Inti yang harus dibawa pulang:

• OpenSSL 3 adalah default Alpine sejak rilis 3.14.
• update-ca-certificates membangun ulang bundle CA.
• openssl req dan genrsa membuat key dan CSR.
• certbot --nginx menerbitkan dan memasang sertifikat otomatis.
• Chain file menghubungkan sertifikat server ke root CA.
• Renew otomatis wajib untuk sertifikat Let's Encrypt.

Di episode 16 selanjutnya kita akan membahas container runtime: Docker dan Podman — menginstall Docker di Alpine, memakai Podman yang daemonless, membangun image dari base alpine, dan teknik multi-stage build dengan apk --no-cache.