9.3. Mengelola Hak

Linux tentu saja adalah sistem multi-pengguna, sehingga perlu untuk menyediakan sistem izin untuk mengontrol set operasi terotorisasi pada berkas dan direktori, yang mencakup semua sumber daya sistem dan perangkat (pada sebuah sistem Unix, setiap perangkat diwakili oleh sebuah berkas atau direktori). Prinsip ini umum untuk semua sistem Unix, tetapi pengingat selalu berguna, terutama karena ada beberapa penggunaan tingkat lanjut yang menarik dan relatif tidak dikenal.

9.3.1. Pemilik dan Izin

Setiap berkas atau direktori memiliki izin khusus untuk tiga kategori pengguna:

pemiliknya (dilambangkan oleh u seperti "user/pengguna");
grup pemilik (dilambangkan oleh g dalam "grup"), yang mewakili semua anggota kelompok;
yang lain (dilambangkan oleh o seperti "other/yang lain").

Tiga jenis hak dasar dapat digabungkan:

membaca (symbolized oleh r seperti "read/baca");
menulis (atau memodifikasi, dilambangkan oleh w seperti "write/menulis");
mengeksekusi (dilambangkan oleh x seperti "eXecute/menjalankan").

Dalam kasus berkas, hak-hak ini yang mudah dipahami: akses baca memungkinkan membaca konten (termasuk menyalin), akses menulis memungkinkan mengubah, dan akses mengeksekusi memungkinkan Anda untuk menjalankannya (yang hanya akan bekerja jika itu adalah sebuah program).

KEAMANAN executable dengan setuid dan setgid

Dua hak khusus relevan ke berkas yang dapat dieksekusi: setuid dan setgid (dilambangkan dengan huruf "s"). Perhatikan bahwa kita sering berbicara tentang "bit", karena setiap nilai-nilai boolean ini dapat diwakili oleh 0 atau 1. Dua hak ini memungkinkan pengguna untuk mengeksekusi program dengan hak-hak pemilik atau kelompok. Mekanisme ini memberikan akses ke fitur yang memerlukan izin tingkat yang lebih tinggi daripada yang Anda biasa miliki.

Karena program dengan setuid root secara sistematis berjalan di bawah identitas pengguna super, sangat penting untuk memastikan itu aman dan handal. Memang, pengguna yang akan berhasil membelokkan itu untuk memanggil perintah pilihan mereka kemudian bisa menyaru sebagai pengguna root dan memiliki semua hak pada sistem.

Jika Anda memerlukan menjalankan program di bawah pengguna yang berbeda atau jika program memerlukan izin yang lebih tinggi, perintah sudo, su, atau runuser biasanya merupakan pilihan yang lebih baik daripada menggunakan bit-bit ini (lihat Bagian 8.9.4, “Berbagi Hak Akses Administrator”).

Direktori ditangani secara berbeda. Akses baca memberikan hak untuk berkonsultasi ke daftar entri (berkas dan direktori), akses tulis mengizinkan membuat atau menghapus berkas, dan akses mengeksekusi memungkinkan melintasinya (terutama untuk pergi ke sana dengan perintah cd). Mampu untuk melintasi sebuah direktori tanpa bisa membacanya memberikan izin untuk mengakses entri di dalamnya yang dikenal dengan nama, tetapi tidak untuk menemukan mereka jika Anda tidak tahu keberadaan mereka atau nama yang tepat.

KEAMANAN direktori setgid dan bit sticky

Bit setgid juga berlaku untuk direktori. Objek yang baru dibuat dalam direktori tersebut secara otomatis dimasukkan ke grup pemilik direktori induk, bukan mewarisi grup utama pencipta seperti biasa. Konfigurasi ini menghindari pengguna harus mengubah grup utama (dengan perintah newgrp) ketika bekerja di pohon berkas yang dipakai bersama antara beberapa pengguna dari grup khusus yang sama.

Bit "sticky" (dilambangkan dengan huruf "t") adalah izin yang hanya berguna dalam direktori. Hal ini terutama digunakan untuk direktori sementara tempat setiap orang memiliki akses tulis (seperti /tmp/): membatasi penghapusan berkas sehingga hanya pemilik (atau pemilik direktori induk) yang dapat melakukannya. Tanpa ini, semua orang bisa menghapus berkas milik pengguna lain dalam /tmp/.

Tiga perintah mengontrol izin yang terkait dengan berkas:

chown pengguna berkas mengubah pemilik berkas;
chgrp grup berkas mengubah kelompok pemilik;
chmod hak berkas mengubah izin untuk berkas.

Ada dua cara untuk menyajikan hak. Di antara mereka, representasi simbolik adalah mungkin yang paling mudah untuk dipahami dan diingat. Ini melibatkan huruf simbol yang disebutkan di atas. Anda bisa mendefinisikan hak untuk setiap kategori pengguna (u g/o), dengan menetapkan mereka secara eksplisit (dengan =), dengan menambahkan (+), atau mengurangi (-). Dengan demikian rumus u=rwx,g+rw,o-r memberikan pemilik hak baca, tulis, dan eksekusi, menambahkan hak baca dan tulis untuk pemilik grup, dan menghilangkan hak-hak baca untuk pengguna lain. Hak-hak yang tidak diubah oleh penambahan atau pengurangan dalam perintah tersebut tetap tak berubah. Huruf a, untuk "all/semua", mencakup semua kategori pengguna, sehingga a=rx menghibahkan ke ketiga kategori hak yang sama (membaca dan mengeksekusi, tapi tidak menulis).

Representasi numerik (oktal) mengasosiasikan hak masing-masing dengan suatu nilai: 4 untuk baca, 2 untuk tulis, dan 1 untuk eksekusi. Kita menghubungkan setiap kombinasi hak dengan menjumlah angka-angka. Setiap nilai kemudian ditugaskan untuk berbagai kategori pengguna dengan meletakkan mereka dalam urutan biasa (pemilik, kelompok, lain-lain).

Misalnya, perintah chmod 754berkas akan menetapkan hak-hak berikut: baca, tulis dan, jalankan untuk pemilik (karena 7 = 4 + 2 + 1); baca dan jalankan untuk grup (karena 5 = 4 + 1); hanya-baca untuk orang lain. 0 berarti tidak ada hak; dengan demikian chmod 600berkas memungkinkan hak baca/tulis untuk pemilik, dan tidak ada hak untuk orang lain. Kombinasi tepat yang paling sering adalah 755 untuk berkas yang dapat dieksekusi dan direktori, dan 644 untuk berkas data.

Untuk mewakili hak khusus, Anda dapat memberi awalan digit keempat ke nomor ini sesuai dengan prinsip yang sama, dengan bit setuid, setgid, dan sticky masing-masing adalah 4, 2, dan 1. chmod 4754 akan mengasosiasikan bit setuid dengan hak-hak yang dijelaskan sebelumnya.

Perhatikan bahwa penggunaan notasi oktal hanya memungkinkan untuk mengatur semua hak sekaligus pada berkas; Anda tidak dapat menggunakannya untuk menambahkan hak baru, seperti akses baca untuk pemilik grup, karena Anda harus memperhitungkan hak-hak yang ada dan menghitung nilai numerik baru yang sesuai.

TIP Operasi rekursif

Kadang-kadang kita harus mengubah hak untuk seluruh pohon berkas. Semua perintah di atas memiliki opsi -R untuk beroperasi secara rekursif di sub-direktori.

Perbedaan antara direktori dan berkas terkadang menyebabkan masalah dengan operasi rekursif. Itulah sebabnya huruf "X" telah diperkenalkan dalam representasi simbolis hak. Ini juga mewakili hak untuk mengeksekusi, tetapi berlaku berbeda untuk direktori dan berkas.

Untuk direktori, ia menambahkan izin yang dapat dieksekusi ke pengguna yang dipilih. Untuk berkas, ia menambahkan bit yang dapat dieksekusi hanya jika setidaknya salah satu pengguna (pemilik, grup, atau lainnya) sudah memiliki izin yang dapat dieksekusi. Mari kita tunjukkan, karena bit ini bisa membingungkan:

$ ls test.txt
  -rw-r--r-- 1 daniel daniel 0 18. Nov 01:07 test.txt
  $ chmod u+X test.txt
  $ ls test.txt
  -rw-r--r-- 1 daniel daniel 0 18. Nov 01:07 test.txt
  $ chmod o+x test.txt
  $ ls test.txt
  -rw-r--r-x 1 daniel daniel 0 18. Nov 01:07 test.txt
  $ chmod u+X test.txt
  $ ls test.txt
  -rwxr--r-x 1 daniel daniel 0 18. Nov 01:07 test.txt

Contoh ini menunjukkan berkas umum dengan izin bakunya: pemiliknya dapat membaca dan menulis, grup pemilik, dan semua pengguna lain dapat membacanya. Operasi berikutnya (u+X) tidak akan menambahkan izin yang dapat dieksekusi untuk pemilik berkas, karena izin untuk mengeksekusi belum ditetapkan. Operasi tidak berpengaruh pada berkas. Selanjutnya kami menetapkan hak eksekusi untuk pengguna "lain" dan mengulangi operasi. Kali ini berhasil, karena setidaknya satu grup pengguna sudah memiliki izin yang dapat dieksekusi.

Ini adalah kesalah pahaman bahwa bit ini hanya akan mempengaruhi direktori. Jika berkas dan direktori memiliki izin campuran, sering kali merupakan ide yang baik untuk menggunakan perintah find untuk mencari target yang ingin Anda lakukan operasi atasnya.

LEBIH LANJUT umask

Ketika sebuah aplikasi menciptakan sebuah berkas, itu menetapkan izin indikatif, mengetahui bahwa sistem secara otomatis menghapus hak tertentu, yang diberikan oleh perintah umask. Masukkan umask dalam shell; Anda akan melihat sebuah mask seperti 0022. Ini adalah sekadar representasi oktal hak yang secara sistematis akan dihapus (dalam kasus ini, hak tulis untuk grup dan pengguna lain). Dengan nilai umask di atas, baku untuk direktori 777 menjadi 755 dan izin baku untuk berkas 666 menjadi 644.

Nilai baku sistem ditangani oleh pam_umask(8) dan /etc/login.defs.

Jika Anda memberikan nilai oktal baru, perintah umask memodifikasi mask. Digunakan dalam berkas inisialisasi shell (misalnya, ~/.bashrc atau ~/.profile), ini akan secara efektif mengubah mask baku untuk sesi kerja Anda.

9.3.2. ACLs - Access Control Lists (Daftar Kontrol Akses)

Banyak sistem berkas, misalnya Btrfs, Ext3, Ext4, JFS, XFS, dll., mendukung penggunaan Access Control Lists (ACL). Ini memperluas fitur dasar kepemilikan dan izin berkas, yang dijelaskan di bagian sebelumnya, dan memungkinkan kontrol yang lebih halus dari setiap objek (berkas). Misalnya: Pengguna ingin berbagi berkas dengan pengguna lain dan pengguna tersebut seharusnya hanya dapat membaca berkas tersebut, tetapi tidak menulis atau mengubahnya.

Untuk beberapa sistem berkas, penggunaan ACL diaktifkan secara baku (misalnya Btrfs, Ext3, Ext4). Untuk sistem berkas lain atau sistem yang lebih lama, itu harus diaktifkan menggunakan opsi kait acl - baik di perintah mount langsung atau di /etc/fstab. Dengan cara yang sama penggunaan ACL dapat dinonaktifkan dengan menggunakan opsi kait noacl. Untuk sistem berkas Ext*, seseorang juga dapat menggunakan perintah tune2fs -o [no]acl /dev/peranti untuk mengaktifkan/menonaktifkan penggunaan ACL secara baku. Nilai baku untuk setiap sistem berkas biasanya dapat ditemukan di halaman manual homonim mereka di bagian 5 (filesystem(5)) atau di mount(8).

Setelah mengaktifkan ACL, izin dapat diatur menggunakan perintah setfacl(1), sementara getfacl(1) memungkinkan seseorang untuk mendapatkan ACL bagi objek atau path tertentu. Perintah ini adalah bagian dari paket acl. Dengansetfacl Seseorang juga dapat mengonfigurasi berkas atau direktori yang baru dibuat untuk mewarisi izin dari direktori induk. Penting untuk dicatat bahwa ACL diproses dalam urutannya dan bahwa entri sebelumnya yang sesuai dengan situasi lebih diutamakan daripada entri selanjutnya.

Jika berkas memiliki ACL yang ditetapkan, keluaran dari ls -l perintah akan menampilkan tanda plus setelah izin tradisional. Saat menggunakan ACL, chmod perintah berperilaku sedikit berbeda, dan umask mungkin diabaikan. Dokumentasi ekstensif, misalnya acl(5) berisi lebih banyak informasi.