Définir le texte de la bannière d'avertissement de connexion GNOME3
Impose une bannière d'avertissement définie par l'organisation sur l'écran de connexion GNOME via banner-message-text dans la base dconf du système, verrouillée contre toute modification par l'utilisateur.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Une bannière de connexion est à la fois dissuasive et un avis légal. Afficher un avertissement approuvé par l'organisation sur l'écran de connexion GNOME (banner-message-text) informe chaque utilisateur, et tout intrus, que l'accès est surveillé et que l'usage non autorisé est interdit. Sans elle, un attaquant peut prétendre n'avoir reçu aucune notification des restrictions, affaiblissant toute action disciplinaire ou judiciaire, et le système échoue silencieusement aux exigences de politique et d'accréditation (NIST AC-8).
Ce que vérifie Pavois
Pavois vérifie dans la configuration dconf effective qu'un drop-in sous /etc/dconf/db/*.d/ définit bien banner-message-text, et que /org/gnome/login-screen/banner-message-text figure dans un fichier locks/ afin que les utilisateurs ne puissent pas l'effacer. Inspecter la base dconf résolue capte la bannière quel que soit le fichier de clés qui la définit, un scan d'un seul chemin manquerait une valeur posée dans un autre drop-in.
only_if { command('dconf').exist? }
describe command('{ grep -rqE \'^[[:space:]]*banner-message-text[[:space:]]*=\' /etc/dconf/db/*.d/* 2>/dev/null && grep -rqxF \'/org/gnome/login-screen/banner-message-text\' /etc/dconf/db/*/locks/* 2>/dev/null && echo ok; } || echo ko') do
its('stdout.strip') { should eq 'ok' }
endComment vérifier qu’elle est appliquée
Exécutez dconf read /org/gnome/login-screen/banner-message-text (ou gsettings get org.gnome.login-screen banner-message-text) ; la sortie attendue est votre chaîne de bannière approuvée, p. ex. 'Usage autorisé uniquement. Activité surveillée.'. Confirmez le verrou avec grep -r banner-message-text /etc/dconf/db/*/locks/.
Inspecter et investiguer
Le gestionnaire d'affichage rend la bannière ; son cycle de vie est journalisé via journalctl -u gdm. Les tentatives de connexion sur l'écran d'accueil apparaissent dans journalctl -u gdm et (pour les sessions résultantes) dans /var/log/auth.log ou journalctl _COMM=gdm-session-worker.
Remédiation
Le plan de durcissement de Pavois utilise la ressource dconf pour écrire le fichier de clés définissant banner-message-text et l'entrée locks/ correspondante, puis exécute dconf update. Fournissez le texte approuvé par votre organisation ; appliquez avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | org/gnome/login-screen/banner-message-text |
|---|---|
| resource | dconf |
| value | 'Authorized access only. All activity is monitored and recorded.' |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Aucun risque technique : la bannière n'ajoute que du texte à l'écran d'accueil et n'affecte ni l'authentification ni les services. Précaution : le contenu de la bannière est un élément à valeur juridique, utilisez la formulation exacte imposée par votre organisation ou régulateur, car un avis inexact peut être pire que son absence. Le réglage ne s'applique que là où GDM/GNOME s'exécute ; les serveurs sans interface graphique ne sont pas concernés.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 1.7.2, 1.8.2, 1.8.1 | direct | per OS, see the benchmark table | haute |
| NIST | 3.1.9, AC-8(a), AC-8(c) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.