Cara Memeriksa Paket Linux Sebelum Memasangnya

Kamu menemukan sebuah paket di forum, menambahkan repositori baru, lalu mengetik perintah pemasangan tanpa berpikir dua kali. Cara memeriksa paket Linux sebelum dipasang sering terlewat justru saat semuanya terasa cepat: satu salin tempel, selesai. Padahal beberapa pemeriksaan singkat bisa menunjukkan siapa yang membuat paket, dari mana asalnya, dan apa yang akan diubah di sistemmu.

Panduan ini memakai contoh di Ubuntu dan turunannya, tetapi langkah yang sama berlaku di Debian dan sebagian besar distro berbasis APT. Kalau kamu masih baru dengan urusan pemasangan paket, mulai dulu dari tips memasang aplikasi Linux untuk pemula agar alurnya tidak melompat terlalu jauh.

Mulai dari sumber paket, bukan dari nama aplikasinya

Nama paket hanya memberi tahu apa yang kamu cari. Yang menentukan risiko adalah dari mana paket itu diambil. Repositori resmi distro diperiksa oleh pengelola distribusi sebelum masuk, sementara arsip .deb dari situs pribadi bisa berasal dari siapa saja. Sebelum memasang, jalankan perintah ini untuk melihat daftar repositori yang aktif:

apt-cache policy

Outputnya menampilkan setiap sumber beserta prioritasnya. Perhatikan baris yang bukan berasal dari domain resmi distro. Jika kamu baru menambahkan PPA atau repositori pihak ketiga, catat nama pemiliknya. Di Ubuntu, keberadaan file di /etc/apt/sources.list.d/ adalah jejak yang mudah diperiksa:

ls /etc/apt/sources.list.d/

Dari situ kamu bisa membuka setiap berkas dengan editor teks dan melihat URL serta baris Signed-By. Repositori tanpa kunci tanda tangan yang jelas sebaiknya tidak dipakai, apa pun alasan yang tertulis di halaman unduhannya.

Periksa tanda tangan dan checksum berkas

Untuk paket yang kamu unduh manual dalam bentuk .deb, ada dua hal yang layak dicek: checksum dan tanda tangan GPG. Checksum memastikan berkas tidak rusak atau berubah saat diunduh. Penjual paket biasanya menyediakan nilai SHA256 di halaman unduhan. Hitung nilainya di terminal:

sha256sum nama-paket.deb

Bandingkan hasilnya karakter demi karakter dengan yang tertulis di sumber resmi. Kalau berbeda, unduh ulang dari koneksi yang lebih stabil. Untuk pemeriksaan tanda tangan, gunakan:

dpkg-sig --verify nama-paket.deb

Perintah ini butuh paket dpkg-sig yang mungkin belum terpasang. Kalau tanda tangan tidak ada, bukan berarti paket berbahaya, tetapi kamu kehilangan satu lapisan bukti bahwa berkas itu benar dibuat oleh pembuat yang diklaim.

Lihat isi paket sebelum memasangnya

Paket .deb sebenarnya hanyalah arsip yang dibungkus. Kamu bisa membongkarnya tanpa memasang apa pun ke sistem. Daftar berkas yang akan ditempatkan bisa dilihat lebih dulu:

dpkg-deb -c nama-paket.deb

Dari daftar itu, cari lokasi yang mencurigakan, misalnya skrip di /etc/init.d/ atau /etc/cron.d/ untuk aplikasi yang seharusnya hanya berupa program grafis. Berkas skrip di folder /usr/bin/ juga layak diperiksa isinya. Untuk membaca skrip kontrol yang dijalankan saat pemasangan, ekstrak paket ke folder sementara:

dpkg-deb -e nama-paket.deb kontrol/
cat kontrol/postinst

Skrip postinst berjalan dengan hak akses root setelah paket terpasang. Isinya wajar bila hanya membuat direktori atau memperbarui cache ikon. Kalau ada baris yang mengunduh berkas dari internet lalu menjalankannya, itu alasan cukup untuk berhenti dan mencari paket lain.

Periksa dependensi dan ukuran pemasangan

Paket yang tampak kecil bisa menarik puluhan dependensi. Simulasikan pemasangan tanpa benar-benar mengubah sistem:

sudo apt install --simulate nama-paket

Opsi --simulate menampilkan paket yang akan diambil, ukuran unduhan, dan ruang disk yang dipakai. Ini berguna ketika kamu memakai laptop dengan penyimpanan terbatas, atau ingin tahu apakah paket akan mengganti pustaka sistem yang sudah ada. Jika muncul peringatan tentang paket yang akan dihapus, baca daftarnya dengan teliti sebelum melanjutkan.

Kenali paket populer di repositori resmi

Sebagian besar kebutuhan sehari-hari sudah tersedia di repositori resmi, jadi pemeriksaan di atas lebih sering berguna untuk paket tambahan. Aplikasi pemantau sistem, misalnya, sudah banyak yang lolos kurasi distro dan bisa dipasang langsung. Daftar seperti aplikasi Linux untuk memantau sumber daya sistem membantu memilih yang sesuai sebelum kamu mencari versi lain di luar repositori.

Alat diagnostik jaringan juga sering dicari di luar repositori resmi. Saat membandingkan pilihan yang tersedia, ulasan seperti perbandingan aplikasi ping untuk Windows, Linux, dan Android bisa jadi acuan awal sebelum kamu memutuskan memasang salah satunya.

Jaga catatan paket yang kamu pasang sendiri

Setelah beberapa bulan, mudah lupa paket mana yang berasal dari repositori pihak ketiga. Catat setiap penambahan di satu berkas teks, termasuk URL, tanggal, dan alasan pemasangan. Ketika suatu saat muncul konflik dependensi, catatan itu mempercepat pelacakan sumber masalah. Cara serupa juga berguna saat merapikan koleksi tautan riset; pendekatan di perbandingan aplikasi pencatat link untuk kurasi riset menekankan pentingnya sumber yang tercatat rapi.

Untuk paket yang sudah terpasang, periksa asalnya dengan:

apt-cache policy nama-paket

Baris Installed dan daftar kandidat menunjukkan dari repositori mana versi yang aktif berasal. Kalau sumbernya sudah tidak dikenal, pertimbangkan menggantinya dengan versi resmi atau menghapusnya.

Kapan sebaiknya berhenti dan mencari alternatif

Skrip postinst mengunduh dan menjalankan berkas lain dari internet.
Paket meminta kata sandi root di luar proses pemasangan normal.
Halaman unduhan tidak menyediakan checksum atau kunci tanda tangan.
Repositori memakai domain yang tidak berkaitan dengan proyeknya.
Simulasi pemasangan menunjukkan banyak paket sistem akan dihapus.

Pada titik itu, cari paket setara di repositori resmi atau tunggu versi yang dirilis lewat jalur distribusi. Menunda pemasangan beberapa hari lebih murah daripada membersihkan sistem yang sudah terlanjur berubah.

Ringkasan

Memeriksa paket Linux sebelum dipasang berarti memastikan asal repositori, mencocokkan checksum, membaca isi dan skrip kontrol, lalu menyimulasikan pemasangan untuk melihat dampaknya. Empat langkah itu memakan waktu beberapa menit dan bisa dilakukan seluruhnya dari terminal. Kebiasaan ini juga membuatmu lebih paham apa yang sebenarnya terjadi saat menekan Enter.

Pertanyaan yang Sering Diajukan

Apakah paket dari repositori resmi masih perlu diperiksa?

Tidak perlu sedetail paket dari luar, karena pengelola distro sudah menandatangani dan menguji isinya. Pemeriksaan ringan tetap berguna untuk melihat ukuran unduhan dan dependensi yang ikut terpasang.

Apa yang terjadi kalau checksum tidak cocok?

Berkas kemungkinan rusak saat diunduh atau sudah diubah pihak lain. Hapus berkas tersebut, unduh ulang dari sumber resmi, lalu hitung ulang nilainya sebelum mencoba memasang.

Bisakah paket .deb dibongkar tanpa memasangnya?

Bisa. Perintah dpkg-deb -c menampilkan daftar berkas, sedangkan dpkg-deb -e mengekstrak skrip kontrol ke folder terpisah. Keduanya tidak menyentuh sistem yang sedang berjalan.