Belajar NetBSD - TLS, OpenSSL & Certificates

#Pendahuluan

Di episode 13 sebelumnya kita telah mengamankan gerbang administrasi dengan SSH berbasis key. Namun banyak layanan lain — web, email, API — berbicara dengan protokol yang berbeda, dan membutuhkan lapisan keamanan yang berbeda pula: TLS. Pada episode ini kita akan membedah TLS, OpenSSL, dan sertifikat di NetBSD — membangkitkan key dan CSR, membuat sertifikat self-signed, mengelola trust dengan ca-certificates, serta mengotomasi sertifikat Let's Encrypt.

#Konsep Dasar TLS dan Sertifikat

Alurnya: server membangkitkan key privat, membuat CSR berisi identitas, lalu CSR ditandatangani menjadi sertifikat — baik oleh CA publik (Let's Encrypt) atau oleh diri sendiri (self-signed).

#OpenSSL di NetBSD

OpenSSL tersedia di base system NetBSD. Verifikasi versinya:

openssl version

OpenSSL 3.4.1 6 Jun 2026

#Membangkitkan Key dan CSR

Untuk sebuah website web.example.com, bangkitkan key RSA 3072 dan CSR sekaligus:

openssl req -new -newkey rsa:3072 -nodes \
    -keyout web.key -out web.csr \
    -subj "/CN=web.example.com"

Generating a RSA private key
...
writing new private key to 'web.key'

Dua file dihasilkan: web.key (privat, rahasia) dan web.csr (permintaan, publik). Kirim CSR ke CA untuk ditandatangani, atau tandatangani sendiri.

#Membuat Sertifikat Self-Signed

Untuk testing internal, buat sertifikat yang ditandatangani sendiri dengan masa berlaku 365 hari:

openssl req -x509 -newkey rsa:3072 -nodes \
    -keyout web.key -out web.crt -days 365 \
    -subj "/CN=web.example.com"

Generating a RSA private key
...

Cek isi sertifikat:

openssl x509 -in web.crt -text -noout

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: ...
        Subject: CN=web.example.com
        Not Before: Aug  3 12:00:00 2026 GMT
        Not After : Aug  3 12:00:00 2027 GMT
        Public Key Algorithm: rsaEncryption
        ...

Perhatikan masa berlaku (Not Before/Not After) — bagian pertama yang diperiksa ketika troubleshooting "certificate expired".

#Memverifikasi Sertifikat

Verifikasi sertifikat terhadap chain dan key:

openssl verify -CAfile ca.crt web.crt

web.crt: OK

Verifikasi bahwa key cocok dengan sertifikat (modulus keduanya harus sama):

openssl pkey -in web.key -pubout -outform DER | sha256
openssl x509 -in web.crt -pubkey -noout -outform DER | sha256

#Mengelola Trust: ca-certificates

Untuk aplikasi memercayai CA publik (misalnya saat memanggil API HTTPS), daftar CA harus ada. NetBSD menyediakan package ca-certificates:

cd /usr/pkgsrc/security/mozilla-rootcerts
make install

Extracting certificates from Mozilla's NSS
Creating /etc/openssl/certs/ca-certificates.crt

Sertifikat CA yang dikumpulkan ditaruh di /etc/openssl/certs/ca-certificates.crt — file inilah yang dipakai aplikasi (via SSL_CERT_FILE) untuk memverifikasi koneksi keluar.

#Menambahkan CA Kustom

Untuk CA internal (misalnya CA perusahaan), tambahkan ke store trust:

cp internal-ca.crt /etc/openssl/certs/
rehash /etc/openssl/certs

/etc/openssl/certs/internal-ca.crt -> internal-ca.crt

#Otomasi Sertifikat Let's Encrypt

Sertifikat self-signed tidak dipercaya browser publik. Untuk layanan yang diakses publik, gunakan Let's Encrypt — CA gratis yang menerbitkan sertifikat 90 hari dan bisa diperbarui otomatis. NetBSD menyediakan acme-client (tool asli BSD) dan acme.sh.

#Memakai acme-client

Install dari pkgsrc:

cd /usr/pkgsrc/security/acme-client
make install clean

Konfigurasi ada di /usr/pkg/etc/acme-client.conf:

authority letsencrypt {
    api url "https://acme-v02.api.letsencrypt.org/directory"
    account key "/etc/ssl/account.key"
}
 
domain web.example.com {
    domain key "/etc/ssl/private/web.key"
    domain certificate "/etc/ssl/web.crt"
    domain full chain "/etc/ssl/web-fullchain.pem"
    challenge "/var/www/htdocs/web"
}

Terbitkan sertifikat pertama:

acme-client -v web.example.com

acme-client: web.example.com: certificate signed

#Otomasi Renewal dengan Cron

Sertifikat Let's Encrypt berlaku 90 hari. Perbarui otomatis lewat cron — misalnya setiap hari pukul 03:00, dan muat ulang service web:

0 3 * * * acme-client web.example.com && service nginx reload

#Praktik Terbaik TLS

#Penutup

Pada episode 14 ini, kalian telah mengamankan komunikasi NetBSD dengan TLS: membangkitkan key dan CSR dengan OpenSSL, membuat dan memverifikasi sertifikat self-signed, mengelola trust dengan ca-certificates, serta mengotomasi penerbitan sertifikat Let's Encrypt dengan acme-client.

Inti yang harus dibawa pulang:

• Alur standar: key → CSR → sertifikat (ditandatangani CA atau self-signed).
• openssl req -x509 untuk self-signed, openssl verify dan pencocokan modulus untuk verifikasi.
• Trust store publik: ca-certificates → /etc/openssl/certs/ca-certificates.crt.
• Let's Encrypt gratis dan otomatis via acme-client + cron renewal.
• Sertifikat punya masa berlaku — pantau dan otomasi perpanjangannya.

Di episode 15 selanjutnya kita akan memperkuat sistem dari dalam: security features dan PaX — mengaktifkan ASLR dan W^X, mengelola flags per-binary dengan paxctl, serta menerapkan best practice keamanan server dengan sysctl. Sampai jumpa di episode 15!