Permission

Revisi terkini pada 2 Januari 2016 19.34

[sunting] Model Security

Di sistem indoglobal.com, terdapat dua jenis model security yang dapat diubah melalui menu 'Web Security' di Control Panel:

[sunting] Split web user (default)

Dengan Split web user, script web dijalankan dengan 'user www'. Ini mirip dengan user 'nobody', 'www' atau 'apache' jika menggunakan web server Linux biasa. Perbedaannya, setiap user di sistem indoglobal.com memiliki 'user www' masing-masing. Contoh: jika user anda adalah u777xxx, maka 'user www' anda adalah u777xxx_www.

Kelebihannya adalah lebih aman. Jika terjadi masalah security pada script yang digunakan, penyerang tidak memiliki permission untuk memodifikasi script. Konsekuensinya pengguna perlu mengubah permission file yang perlu ditulis oleh script web.

[sunting] Tanpa split web user

Jika split web user dinonaktifkan, script web dijalankan sama dengan username pengguna. Contoh: Jika username anda u777xxx, maka script web juga dijalankan dengan username u777xxx. Ini adalah model security yang umum berlaku pada kebanyakan web hosting lain.

Kelebihannya, pengguna tidak perlu mengubah permission file yang perlu ditulis oleh script web. Kekurangannya, jika ada masalah security, penyerang memiliki akses untuk memodifikasi file milik user.

[sunting] Mengubah Permission File

Untuk mengubah permission file, dapat dilakukan melalui:

• File Manager (melalui menu Set Permssions - Read Write)
• FTP/SFTP (dengan perintah chmod 777)
• Shell/SSH (dengan perintah chmod 777)

[sunting] chmod 777???

Beberapa pihak keberatan dengan chmod 777. Untuk itu telah kami tulis penjelasan kami di dokumen chmod 777.

[sunting] Melarang Eksekusi Script Yang Dimiliki 'www user'

Untuk meningkatkan keamanan, pengguna juga bisa mengaktifkan opsi 'Prevent execution of scripts owned by web user'. Dengan opsi ini, script yang diupload oleh sesama script akan tidak dapat dieksekusi.

Jika ada celah keamanan di script anda, biasanya penyerang akan menggunakan celah tersebut untuk mengupload script lain. Dengan menyalakan opsi ini, script milik penyerang tersebut menjadi tidak dapat dijalankan.

Kelemahannya, ada beberapa CMS yang memiliki fungsi untuk mengupload software tambahan seperti plugin, theme, module, extension, dll. Terkadang ada software tambahan berupa script yang diakses dan dieksekusi langsung, dan tidak akan dapat dieksekusi jika opsi ini dinyalakan. Pada kebanyakan kasus, ini tidak menjadi masalah karena script biasanya di-include oleh script CMS, dan tidak dieksekusi langsung.

Beberapa CMS seperti Wordpress dan Joomla memiliki fungsi untuk mengupload software tambahan melalui FTP, sehingga masalah ini dapat dihindari sepenuhnya.

[sunting] Menjalankan Script Sebagai 'www user'

Terkadang ada kebutuhan untuk dapat menjalankan script sebagai 'www user' melalui shell, tanpa melalui web server. Untuk melakukannya, gunakan perintah 'wsudo'. Contoh:

wsudo /bin/id

Perintah di atas akan menjalankan /bin/id sebagai 'www user'.