Cara menjalankan program sebagai root dari launcher di Linux

Informatec Digital » Linux » Cara menjalankan program sebagai root dari launcher di Linux

Di Windows, banyak orang terbiasa menekan Shift+Enter atau Shift+klik kiri untuk membuka program dengan hak akses administrator dari menu Mulai. Di Linux, hal ini tidak selalu mudah, karena keamanan bergantung pada hak akses root, sudo, dan bantuan grafis , dan setiap lingkungan desktop memiliki alatnya sendiri. Meskipun demikian, ada cara yang cukup sederhana untuk meluncurkan aplikasi sebagai root dari peluncur, pintasan, atau menu aplikasi, meskipun penting untuk memahami apa yang dimaksud dengan melakukannya.

Intinya adalah pengguna root memiliki kendali absolut atas sistem , dan distribusi modern, terutama Ubuntu dan turunannya, biasanya menonaktifkan login langsung. Oleh karena itu, tidak umum untuk masuk sebagai root, melainkan untuk meningkatkan hak akses sesekali menggunakan `sudo` atau program grafis yang meminta kata sandi. Jika kita ingin ikon peluncur meluncurkan aplikasi dengan hak akses tersebut, kita harus memodifikasi perintah yang dijalankannya atau membuat peluncur khusus.

Apa sebenarnya arti menjalankan sesuatu sebagai root?

Di Linux, root adalah akun dengan UID 0 dan hak akses tak terbatas . Akun ini dapat membaca, memodifikasi, atau menghapus file apa pun, menginstal perangkat lunak, mengubah konfigurasi kernel, dan mengontrol proses milik pengguna mana pun. Hal ini menjadikannya alat yang sangat ampuh, tetapi juga berisiko besar jika digunakan secara sembarangan. Kesalahan ketik sederhana pada `rm` atau `mv` dapat membuat sistem tidak dapat digunakan, dan skrip berbahaya yang dijalankan sebagai root dapat menginstal backdoor, memodifikasi langkah-langkah keamanan, atau mencuri data tanpa meninggalkan jejak.

Di Ubuntu, akun root tidak memiliki kata sandi default dan login langsung tidak diizinkan. Filosofinya adalah Anda bekerja dengan akun pengguna biasa dan menggunakan `sudo` untuk tugas-tugas tertentu . `sudo` pada dasarnya berarti menjalankan perintah sebagai pengguna lain, biasanya root, setelah mengautentikasi dengan kata sandi Anda sendiri jika Anda termasuk dalam grup `sudo`. Ini membatasi jumlah waktu Anda terpapar dan menyimpan catatan siapa yang melakukan apa.

Namun, dalam situasi yang sangat spesifik, seperti memulihkan sistem yang rusak, bekerja di lingkungan terbatas, atau mengkonfigurasi layanan yang memerlukan akses terus-menerus, Anda mungkin perlu mempertimbangkan untuk mengaktifkan hak akses root untuk sementara waktu. Rekomendasi umumnya adalah menonaktifkannya kembali segera setelah diperlukan. Semakin sedikit waktu yang Anda habiskan sebagai root, semakin baik untuk stabilitas dan keamanan mesin.

Risiko menggunakan root tanpa kehati-hatian

Salah satu bahaya yang paling jelas adalah penghapusan file penting secara tidak sengaja . Sebagai root, tidak ada batasan izin; perintah seperti `sudo rm -rf /` dapat menghapus sistem tanpa peringatan. Biasanya juga tidak ada tempat sampah untuk penghapusan ini, sehingga pemulihan mungkin memerlukan alat forensik yang kompleks atau bahkan instalasi ulang sistem secara lengkap.

Risiko lainnya adalah menjalankan skrip yang tidak tepercaya. Jika Anda menjalankan kode yang diunduh dari situs mana pun dengan hak akses yang tinggi, Anda pada dasarnya memberikan kunci rumah Anda kepada skrip tersebut . Bahkan jika skrip tersebut tampak tidak berbahaya, skrip tersebut dapat berisi instruksi yang merusak atau menginstal malware dengan hak akses root. Oleh karena itu, disarankan untuk meninjau kode, menggunakan sumber resmi, memeriksa checksum, dan mengujinya di mesin virtual atau kontainer sebelum menjalankannya di lingkungan produksi.

Ada juga masalah keterlacakan. Saat Anda menggunakan `sudo`, sistem mencatat perintah, pengguna yang menjalankannya, dan waktu ke `/var/log/auth.log`, `/var/log/secure`, atau `journalctl` . Jika Anda masuk langsung sebagai root, semuanya akan muncul sebagai root, dan Anda kehilangan kemampuan untuk mengetahui individu mana yang melakukan setiap perubahan. Dalam lingkungan dengan banyak administrator atau standar audit ISO 27001, PCI DSS, atau standar audit lainnya, kurangnya keterlacakan ini merupakan kelemahan yang signifikan.

Cara memperoleh hak akses dari terminal

Cara yang paling umum dan disarankan adalah dengan menambahkan `sudo` di depan perintah tertentu. Misalnya, untuk memperbarui paket, memulai ulang layanan, atau mengedit file yang dilindungi, `sudo` akan meminta kata sandi pengguna Anda, bukan kata sandi root, dan setelah mengautentikasi Anda, perintah akan dijalankan dengan hak akses yang lebih tinggi. Jika Anda perlu menjalankannya sebagai pengguna lain, Anda dapat menggunakan `sudo -u username command` . Dan jika Anda menyadari bahwa Anda lupa menggunakan `sudo`, Anda dapat mengulangi perintah terakhir dengan `sudo !! `.

Saat Anda akan melakukan beberapa tugas administratif secara berurutan, akan lebih mudah untuk membuka shell root sementara. `sudo -i` mensimulasikan login root penuh, memuat lingkungan root, dan menempatkan Anda di direktori home. `sudo su` atau `sudo su -` juga berfungsi, meskipun `sudo -i` biasanya lebih andal. Untuk keluar dari sesi ini, cukup ketik `exit`. Tidak disarankan untuk membiarkan shell root terbuka tanpa pengawasan.

Perintah `su`, di sisi lain, beralih pengguna. `su - root` atau hanya `su -` juga mengadopsi variabel lingkungan pengguna target, sedangkan `su root` atau `su` tanpa tanda hubung mempertahankan sebagian dari lingkungan sebelumnya. Perbedaan ini menjelaskan kesalahan seperti `command not found`: perintah administratif biasanya terletak di `/usr/local/sbin`, `/usr/sbin`, dan `/sbin`, jalur yang tidak selalu muncul di PATH pengguna biasa. Jika Anda menggunakan `su` tanpa tanda hubung, Anda harus mengetik jalur lengkap atau beralih ke `su -` untuk mewarisi PATH root.

Jika Anda ingin mengaktifkan kata sandi untuk root, Anda dapat melakukannya dengan `sudo passwd root` . Ubuntu tidak menganjurkan ini, tetapi secara teknis mengizinkan root untuk memiliki kata sandi. Untuk mengunci akun, gunakan `sudo passwd -l root` , dan untuk membukanya, gunakan `sudo passwd -u root`. Di SSH, akses root langsung dikontrol oleh `PermitRootLogin` di `/etc/ssh/sshd_config`. Cara paling aman adalah dengan tetap mengaturnya ke `no` atau, paling banyak, `prohibit-password` untuk hanya mengizinkan kata sandi SSH. Setelah itu, Anda perlu memulai ulang layanan SSH.

Konfigurasikan sweater dengan akurat.

File `/etc/sudoers` mendefinisikan siapa yang dapat menggunakan `sudo` dan untuk tujuan apa. Sebaiknya jangan mengeditnya secara manual; pendekatan yang benar adalah menggunakan `sudo visudo` , yang mengunci file dan memeriksa sintaks sebelum menyimpan. Aturan dasarnya berbentuk `host user=(target_user)`. Misalnya, `bob ALL=(ALL) ALL` memungkinkan `bob` untuk menjalankan perintah apa pun sebagai root di mesin mana pun. Grup juga dapat digunakan, seperti `%admin ALL=(ALL) ALL`.

Untuk memberikan izin yang lebih spesifik, digunakan alias. `User_Alias ​​​​ADMINS = alice, bob` mengelompokkan pengguna, dan `Cmnd_Alias ​​​​LOCATE = /usr/sbin/updatedb` mengelompokkan perintah. Kemudian, `ADMINS ALL = LOCATE` digunakan agar pengguna tersebut hanya dapat menjalankan perintah-perintah tersebut. Alias ​​seperti `NETWORKING` dapat dibuat untuk perintah-perintah seperti `route`, `ifconfig`, `ping`, `iptables`, dll. Ini menerapkan prinsip hak akses minimal tanpa memberikan akses root penuh kepada siapa pun.

Opsi NOPASSWD memungkinkan Anda menjalankan perintah tertentu tanpa kata sandi, misalnya, `pi ALL=(ALL)`. NOPASSWD: ALL. Ini praktis, tetapi berbahaya jika disalahgunakan. Selain itu, setiap penggunaan `sudo` dicatat, yang membantu mengaudit akses dan memecahkan masalah. Jika terjadi kerusakan, meninjau log ini dapat menunjukkan perubahan terbaru mana yang menyebabkan kegagalan tersebut.

Meluncurkan aplikasi grafis sebagai root dari peluncur.

Untuk program dengan antarmuka grafis, menggunakan `sudo` saja biasanya tidak berfungsi dengan baik karena tidak ada terminal untuk meminta kata sandi. Di sinilah peran pembantu grafis . Di KDE, ada `kdesu` : jika Anda tahu perintah mana yang meluncurkan aplikasi, Anda dapat menjalankan `kdesu that_command`. Opsi `Run Command` di menu KDE juga memungkinkan Anda untuk meluncurkan aplikasi sebagai pengguna lain dengan memasukkan kredensial mereka. Di lingkungan GNOME dan GTK , `gksu` dan `gksudo` banyak digunakan ; ini adalah antarmuka untuk `sudo` atau `su`. Misalnya, `gksu synaptic` atau `gksudo gparted` membuka aplikasi dan meminta kata sandi.

Dalam sistem modern, gksu tidak disarankan atau sudah usang. Alternatifnya yang umum adalah pkexec , yang berbasis pada PolicyKit, yang memungkinkan program berjalan dengan hak akses sesuai dengan kebijakan yang telah ditentukan. Banyak peluncur program saat ini menggunakan pkexec untuk tugas-tugas administratif. Idenya sama: pengguna tidak perlu membuka terminal, tetapi sistem memvalidasi otorisasi dengan cara yang terkontrol.

Untuk membuat pintasan di peluncur, Anda mengedit file .desktop . Baris `Exec` adalah kuncinya. Jika Anda ingin menjalankannya sebagai root, Anda dapat menggunakan sesuatu seperti `Exec=gksu /path/to/program`, `Exec=kdesu /path/to/program`, atau `Exec=pkexec /path/to/program`. Jika Anda menggunakan `sudo` secara langsung, Anda perlu peluncur untuk memiliki `Terminal=true` atau mengkonfigurasi askpass grafis. Anda juga dapat mencoba menekan Alt+F2 dan mengetikkan perintah dan nama program, misalnya, `gksu synaptic`. Di KDE, `kdesu synaptic` atau opsi untuk menjalankan sebagai pengguna lain melakukan fungsi serupa.

Ada alternatif klasik yang disebut consolehelper , sebuah pembungkus untuk aplikasi GUI. Anda membuat tautan simbolik, misalnya, /usr/bin/xterm-root yang mengarah ke /usr/sbin/consolehelper. Kemudian Anda mengkonfigurasi PAM dengan membuat /etc/pam.d/xterm-root dengan penyertaan auth, account, dan session dari config-util. Selanjutnya, Anda mendefinisikan /etc/security/console.apps/xterm-root dengan USER=root dan PROGRAM=/usr/bin/xterm. Saat Anda menjalankan xterm-root, consolehelper akan meminta autentikasi PAM dan meluncurkan xterm sebagai root. Jika Anda mengalami kesalahan "Koneksi Xlib ke :0.0 ditolak oleh server", menjalankan xhost local:root mungkin dapat membantu.

Bagaimanapun, membuka aplikasi grafis sebagai root memiliki kekurangan: hal itu mencampur variabel lingkungan, dapat merusak session bus, memengaruhi Wayland atau X11, dan membuat file milik root di direktori home Anda. Sebaiknya gunakan hanya untuk alat administratif tertentu dan tutup segera setelah selesai. Jangan menjelajahi internet atau membuka dokumen mencurigakan sebagai root , karena eksploitasi apa pun akan mewarisi hak akses penuh.

Contoh umum tugas yang memerlukan akses root

Banyak operasi sehari-hari memerlukan hak akses yang lebih tinggi. Mengelola paket dengan apt, zypper, dnf, atau yum seringkali memerlukan sudo. Misalnya, `sudo apt update` , `sudo apt install firefox`, atau `sudo zypper install docker-ce`. Hal yang sama berlaku untuk layanan sistem: `sudo systemctl restart apache2`, `sudo systemctl restart ssh`, atau `sudo systemctl restart nginx`. Untuk memodifikasi akun pengguna, gunakan `sudo usermod`, dan untuk mengubah kepemilikan file, gunakan `sudo chown`. Mengedit konfigurasi penting, seperti `/etc/ssh/sshd_config`, juga memerlukan hak akses root jika dilakukan dengan nano, vim, atau gedit.

Anda tidak memerlukan `sudo` untuk perintah yang hanya membaca informasi atau tidak memodifikasi sistem, seperti `zypper repos` atau `systemctl status NetworkManager`. Menggunakan `sudo` untuk segala hal karena kebiasaan adalah praktik yang buruk. Hal yang bijaksana adalah meningkatkan hak akses hanya ketika tugas membutuhkannya dan kemudian beralih kembali ke pengguna biasa sesegera mungkin.

Praktik terbaik saat bekerja dengan hak akses yang lebih tinggi

Prinsip hak akses minimal harus menjadi pedoman dalam segala hal. Gunakan `sudo` untuk setiap perintah jika memungkinkan, hindari penggunaan shell root secara terus-menerus kecuali benar-benar diperlukan, dan keluar segera setelah selesai. Jangan menjalankan skrip dari sumber yang tidak dikenal sebagai root; tinjau kode terlebih dahulu, unduh dari repositori resmi atau proyek yang bereputasi, verifikasi checksum, dan uji di lingkungan terisolasi jika Anda ragu. Sikap skeptis yang sehat adalah suatu kebajikan ketika berurusan dengan kode pihak ketiga yang memiliki hak akses penuh.

Sebaiknya konfigurasikan sudoers secara terperinci, jangan hanya mengandalkan grup sudo untuk segalanya, dan lakukan audit log secara berkala. Jika Anda mengelola server, periksa `/var/log/auth.log`, `/var/log/secure`, atau `journalctl -xe` untuk mendeteksi penyalahgunaan. Dalam lingkungan multi-pengguna, mengetahui siapa yang menjalankan setiap perintah sangat penting untuk akuntabilitas dan kepatuhan terhadap peraturan keamanan.

Mengaktifkan dan menonaktifkan akses root dengan sebuah head.

Jika Anda memutuskan untuk mengaktifkan akses root, tetapkan kata sandi dengan `sudo passwd root`, gunakan hanya untuk tugas-tugas penting, lalu kunci kembali akun tersebut. Untuk menonaktifkan login SSH langsung, edit `sshd_config` dan atur `PermitRootLogin no` atau `prohibit-password`, lalu mulai ulang SSH. Untuk mengunci akun secara lokal, gunakan `sudo passwd -l root`. Untuk membukanya, gunakan `sudo passwd -u root`. Langkah-langkah ini mengurangi potensi serangan dan mencegah serangan brute-force terhadap akun yang paling kuat.

Dalam kebanyakan kasus, jawaban praktis untuk pertanyaan awal adalah ya: Anda dapat menjalankan program dari peluncur dengan hak akses root menggunakan alat bantu grafis seperti kdesu, gksu, gksudo, atau pkexec, atau dengan membuat file .desktop dengan perintah yang sesuai. Namun, ini bukanlah sesuatu yang sebaiknya Anda biarkan tetap terpasang untuk sembarang aplikasi. Lebih baik memiliki peluncur administratif khusus dengan nama yang jelas dan hanya menggunakannya bila diperlukan.

Intinya adalah bahwa hak akses root bukanlah mainan, dan sudo ada justru untuk memberdayakan Anda tanpa mengubah setiap klik menjadi risiko permanen. Jika Anda perlu meluncurkan aplikasi grafis sebagai superuser, prioritaskan aplikasi pembantu yang membutuhkan kata sandi, verifikasi bahwa aplikasi tersebut benar-benar membutuhkannya, dan batasi penggunaannya untuk tugas-tugas administratif. Dengan cara ini, Anda menikmati kemudahan peluncur tanpa mengorbankan keamanan yang membuat Linux begitu kuat.