Activer le verrouillage de l'écran GNOME3 au retrait de la carte à puce
Configure GNOME pour verrouiller automatiquement l'écran au retrait de la carte à puce de l'utilisateur, appliqué à tout le système via la base dconf et verrouillé contre toute modification par l'utilisateur.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Sur les postes authentifiés par carte à puce, la carte est le jeton physique de présence de l'utilisateur. Si son retrait ne verrouille pas la session, un utilisateur qui s'éloigne en récupérant son badge laisse une session ouverte et authentifiée exposée à toute personne à proximité. Définir removal-action='lock-screen' lie le verrouillage de session au jeton physique, supprimant la fenêtre d'accès non surveillé.
Ce que vérifie Pavois
Pavois vérifie deux points dans la configuration dconf effective : qu'un fichier de clés sous /etc/dconf/db/*.d/ définit bien removal-action, et que /org/gnome/settings-daemon/peripherals/smartcard/removal-action figure dans un fichier locks/ afin que les utilisateurs ne puissent pas l'écraser. Lire la base dconf résolue (et non une seule boîte de dialogue) capte la valeur quel que soit le drop-in qui la définit.
only_if { command('dconf').exist? }
describe command('{ grep -rqE \'^[[:space:]]*removal-action[[:space:]]*=\' /etc/dconf/db/*.d/* 2>/dev/null && grep -rqxF \'/org/gnome/settings-daemon/peripherals/smartcard/removal-action\' /etc/dconf/db/*/locks/* 2>/dev/null && echo ok; } || echo ko') do
its('stdout.strip') { should eq 'ok' }
endComment vérifier qu’elle est appliquée
En tant qu'utilisateur de bureau connecté, exécutez gsettings get org.gnome.settings-daemon.peripherals.smartcard active-action (ou inspectez dconf read /org/gnome/settings-daemon/peripherals/smartcard/removal-action) ; la sortie attendue est 'lock-screen'. Confirmez le verrou avec grep -r removal-action /etc/dconf/db/*/locks/.
Inspecter et investiguer
Les événements de retrait de carte et de verrouillage de session apparaissent dans le journal de la session utilisateur : journalctl --user -u gnome-session et journalctl -u gdm. Le sous-système carte à puce (pcscd / opensc) journalise les insertions/retraits via journalctl -u pcscd.
Remédiation
Le plan de durcissement de Pavois utilise la ressource dconf pour écrire le fichier de clés définissant removal-action='lock-screen' et l'entrée locks/ correspondante, puis exécute dconf update pour que le changement prenne effet pour tous les utilisateurs. Appliquez-le avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | org/gnome/settings-daemon/peripherals/smartcard/removal-action |
|---|---|
| resource | dconf |
| value | 'lock-screen' |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
L'impact fonctionnel est minime : seules les sessions sur machines équipées de carte à puce sont concernées, et le verrou n'exige qu'une ré-authentification. Précaution : si la carte est aussi l'unique moyen de connexion, son retrait verrouille désormais l'écran et il faut la réinsérer + saisir le PIN pour revenir, assurez-vous qu'un repli fonctionnel (PIN connu ou compte administrateur) existe avant déploiement afin qu'une carte mal lue ne bloque pas un utilisateur. Sur les serveurs sans session graphique, cette règle n'a aucun effet à l'exécution.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| DISA STIG | UBTU-24-200042 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.