Désactiver la séquence de redémarrage Ctrl-Alt-Suppr dans GNOME3
Neutralise la liaison de touche multimédia logout (Ctrl-Alt-Suppr) de GNOME et la verrouille pour empêcher les utilisateurs de redémarrer ou de terminer la session via ce raccourci.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Un utilisateur connecté à la console GNOME qui presse Ctrl-Alt-Suppr peut déclencher l'action de touche multimédia logout et redémarrer ou terminer la session. Si la séquence est pressée par accident, fréquent dans les environnements multi-OS où elle a une autre signification, cela provoque une perte de disponibilité à court terme. Définir la liaison de touche logout et la verrouiller supprime le raccourci de redémarrage/déconnexion afin qu'il ne puisse être déclenché par erreur.
Ce que vérifie Pavois
Pavois vérifie l'état dconf effectif : la clé logout doit être définie sous /etc/dconf/db/*.d/* (réglée sur une liaison vide pour désactiver le raccourci) et /org/gnome/settings-daemon/plugins/media-keys/logout doit figurer dans un fichier de verrou dconf. Évaluer le profil compilé plus le verrou, et non un seul fichier modifiable, correspond à la façon dont dconf résout les liaisons de touches, de sorte qu'une liaison déverrouillée ou surchargée est correctement signalée.
only_if { command('dconf').exist? }
describe command('{ grep -rqE \'^[[:space:]]*logout[[:space:]]*=\' /etc/dconf/db/*.d/* 2>/dev/null && grep -rqxF \'/org/gnome/settings-daemon/plugins/media-keys/logout\' /etc/dconf/db/*/locks/* 2>/dev/null && echo ok; } || echo ko') do
its('stdout.strip') { should eq 'ok' }
endComment vérifier qu’elle est appliquée
Après dconf update, exécutez gsettings get org.gnome.settings-daemon.plugins.media-keys logout (doit retourner une liaison vide comme [''] ou @as []) et confirmez que la clé est verrouillée en cherchant /org/gnome/settings-daemon/plugins/media-keys/logout dans /etc/dconf/db/*/locks/*.
Inspecter et investiguer
dconf n'a pas de journal à l'exécution ; vérifiez avec gsettings get org.gnome.settings-daemon.plugins.media-keys logout et inspectez /etc/dconf/db/*.d/* et /etc/dconf/db/*/locks/*. Les événements réels de redémarrage/déconnexion (si certains passaient) sont enregistrés par systemd et visibles avec journalctl -b -1 (boot précédent) ou last -x | grep -E 'reboot|shutdown'.
Remédiation
Le plan de durcissement de Pavois utilise la ressource dconf pour définir la liaison de touche multimédia logout (valeur vide) dans un drop-in de profil dconf système, ajouter /org/gnome/settings-daemon/plugins/media-keys/logout à un fichier locks, et exécuter dconf update. Appliquez-le avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | org/gnome/settings-daemon/plugins/media-keys/logout |
|---|---|
| resource | dconf |
| value | '' |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Ne s'applique qu'aux bureaux GNOME ; sans objet sur les serveurs sans interface graphique. Après application, le raccourci de déconnexion Ctrl-Alt-Suppr ne fonctionne plus pour les utilisateurs de bureau, une protection délibérée de la disponibilité. Cela n'affecte pas la cible systemd ctrl-alt-del.target en console texte (contrôle distinct) ; cela neutralise uniquement la liaison de touche multimédia GNOME. Précaution : assurez-vous que les opérateurs disposent d'une procédure de redémarrage documentée et intentionnelle (menu, systemctl reboot) avant de compter sur la disparition du raccourci. Aucun redémarrage nécessaire ; dconf update suffit.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| NIST | 3.1.2, AC-6(1), CM-6(a), CM-7(b) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| DISA STIG | UBTU-22-271030, UBTU-24-300025 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.