Activer la bannière d'avertissement de connexion GNOME3
Garantit que l'écran de connexion GNOME affiche une bannière d'avertissement en définissant banner-message-enable=true et en verrouillant la clé pour empêcher sa désactivation par les utilisateurs.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Afficher une bannière d'avertissement standardisée et approuvée avant d'accorder l'accès au système prévient les utilisateurs que leur activité peut être surveillée et que tout accès non autorisé est interdit. Cela répond aux exigences légales et de politique (conformément aux lois, directives, normes et recommandations applicables) et renforce toute action juridique ultérieure contre les intrus. Le réglage doit aussi être verrouillé pour qu'un utilisateur connecté ne puisse pas supprimer la bannière.
Ce que vérifie Pavois
Pavois vérifie deux choses dans l'état dconf effectif : la dernière définition de banner-message-enable parmi /etc/dconf/db/*.d/* vaut true, et la clé /org/gnome/login-screen/banner-message-enable figure dans un fichier de verrou dconf. Lire la précédence résolue des clés (le dernier drop-in l'emporte) et le verrou, au lieu de supposer un seul fichier, correspond à la façon dont dconf calcule réellement la valeur, ce qui détecte les cas où un drop-in ultérieur réautorise l'édition ou surcharge la bannière.
only_if { command('dconf').exist? }
describe command('{ s=$(grep -rhE \'^[[:space:]]*banner-message-enable[[:space:]]*=\' /etc/dconf/db/*.d/* 2>/dev/null | tail -1 | sed -E \'s/^[^=]*=[[:space:]]*//\' | tr -d "\'\\""); [ "$s" = "true" ] && grep -rqxF \'/org/gnome/login-screen/banner-message-enable\' /etc/dconf/db/*/locks/* 2>/dev/null && echo ok; } || echo ko') do
its('stdout.strip') { should eq 'ok' }
endComment vérifier qu’elle est appliquée
Après mise à jour de la base dconf (dconf update), confirmez la valeur effective avec gsettings get org.gnome.login-screen banner-message-enable (doit afficher true) et vérifiez que la clé est verrouillée en listant /etc/dconf/db/*/locks/* pour l'entrée /org/gnome/login-screen/banner-message-enable.
Inspecter et investiguer
dconf n'a pas de journal d'événements à l'exécution ; vérifiez l'état avec gsettings get org.gnome.login-screen banner-message-enable et inspectez /etc/dconf/db/*.d/* et /etc/dconf/db/*/locks/*. La bannière elle-même est visible sur l'écran d'accueil GDM ; les messages GDM/session se consultent avec journalctl -u gdm (ou journalctl -b /usr/sbin/gdm).
Remédiation
Le plan de durcissement de Pavois utilise la ressource dconf pour écrire banner-message-enable=true (et généralement un banner-message-text) dans un drop-in de profil dconf système, ajouter l'entrée correspondante dans un fichier locks, puis exécuter dconf update pour compiler la base. Appliquez-le avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | org/gnome/login-screen/banner-message-enable |
|---|---|
| resource | dconf |
| value | true |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Cette règle ne s'applique qu'aux hôtes exécutant GNOME/GDM ; sur les serveurs sans interface graphique elle n'est pas pertinente. Le changement est peu risqué : il ajoute une bannière à l'écran de connexion sans bloquer l'authentification. Précautions : maintenez le texte de la bannière conforme à l'avis légal approuvé par votre organisation, et rappelez-vous que verrouiller la clé empêche les utilisateurs (et la config locale) de la modifier, pour changer le texte ultérieurement, éditez le profil système et relancez dconf update.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.7.2, 1.8.2, 1.8.1 | direct | per OS, see the benchmark table | haute |
| NIST | 3.1.9, AC-8(a), AC-8(b), AC-8(c) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| DISA STIG | UBTU-22-271010, UBTU-24-200650 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.