OpenSSL akan diinstall pada default direktori usrssl. Lakukan pengecekan apakah OpenSSL telah terinstal dengan benar atau tidak dengan
perintah berikut.
openssl version
Konfigurasi terhadap OpenSSL dilakukan melalui file usrsslopenssl.cnf.
4.3.2.2 Pembuatan Sertifikat CA
Untuk membuat sertifikat CA X.509 berbasis signature ECDSA Elliptic Curve Digital Signature Algorithm, terlebih dahulu kita membuat private key
berbasis Elliptic Curve berukuran 521bit baru kemudian membuat sertifikat X.509 CA dari key tersebut.
openssl ecparam -genkey -name secp521r1 -out cakey.pem openssl req –x509 –new –key cakey.pem -days 3650 -out cacert.pem
Isi data untuk sertifikat x509 CA. Data tersebut adalah “Country Name”, “State or Province Name”, “Locality”, “Organization Name”, “Common Name”,
dan “Email Address”. Akan ada dua file hasil dari pembuatan CA yaitu cakey.pem yang merupakan private key dan cacert.pem yang merupakan sertifikat
dari CA beserta public key.
4.3.2.3 Pembuatan Sertifikat untuk End Entity
Setelah membuat self-signed certificate CA maka tugas selanjutnya adalah membuat sertifikat x509 untuk setiap komputer end entity certificate yang akan
membuat koneksi IPsec. Pertama kita membuat private key elliptic curve berukuran 384bit untuk peer IPsec, setelah itu dari private key itu dibuat
certificate request untuk setiap peer IPsec , dan certificate request itu kemudian di-sign oleh CA certificate yang sebelumnya telah dibuat. Berikut adalah
perintahnya di konsol linux.
77
openssl ecparam -genkey -name secp384r1 -out xxxkey.pem openssl req –new –key xxxkey.pem -out xxxreq.pem
Nama xxx diganti dengan nama host komputer dimana sertifikat itu diperuntukkan. Misalnya, untuk pembuatan key dan certificate request untuk host
A, maka xxxkey.pem diganti menjadi akey.pem dan xxxreq.pem diganti menjadi areq.pem. Begitu pula pembuatan untuk host lainnya B, Z, GW1, GW2, GW3
sehingga didapatkan file private key akey.pem, bkey.pem, zkey.pem, gw1key.pem, gw2key.pem, gw3key.pem, dan file certificate request areq.pem,
breq.pem, zreq.pem, gw1req.pem, gw2req.pem, gw3req.pem, Format isian certificate request pada dasarnya sama seperti membuat CA,
tetapi kali ini data isian disesuaikan untuk host IPsec. Kemudian request sertifikat yang telah dibuat harus disign oleh sertifikat CA yang sebelumnya telah dibuat.
openssl x509 –req –in xxxreq.pem –CA cacert.pem -CAkey cakey.pem -days 365 –extfile openssl.cnf –extension usr_cert -CAcreateserial -out xxxcert.pem
Ganti xxx dengan nama host komputer dimana sertifikat itu diperuntukkan. Misalnya, untuk penandatanganan certificate request untuk host A, maka
xxxreq.pem diganti menjadi areq.pem. xxxcert.pem diganti menjadi acert.pem dan Begitu pula penandatanganan untuk host lainnya B, Z, GW1, GW2, GW3
sehingga didapatkan file sertifikat publik x.509 acert.pem, bcert.pem, zcert.pem, gw1cert.pem, gw2cert.pem, gw3cert.pem.
4.3.2.4 Instalasi Certificate
