Activer l'activation du screensaver GNOME3 sur inactivité
Active l'activation automatique du screensaver après le délai d'inactivité via idle-activation-enabled=true dans la base dconf du système, verrouillé contre toute modification par l'utilisateur.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Un verrouillage par temporisation s'enclenche lorsqu'un utilisateur s'éloigne sans se déconnecter. Plutôt que de compter sur un verrouillage manuel, GNOME peut détecter une session inactive et activer le screensaver. Définir idle-activation-enabled=true est le déclencheur qui rend effectifs le délai d'inactivité et le verrouillage sur screensaver. S'il est désactivé, un bureau laissé sans surveillance reste ouvert indéfiniment, exposant la session active à quiconque s'en approche.
Ce que vérifie Pavois
Pavois lit la configuration dconf effective : il résout la dernière valeur définie de idle-activation-enabled parmi les drop-ins /etc/dconf/db/*.d/, exige true, et vérifie que /org/gnome/desktop/screensaver/idle-activation-enabled figure dans un fichier locks/ afin que les utilisateurs ne puissent pas le désactiver. Évaluer la valeur résolue (le dernier fichier de clés l'emporte) reflète la façon dont dconf applique la politique et évite un faux succès si un drop-in ultérieur la désactive.
only_if { command('dconf').exist? }
describe command('{ s=$(grep -rhE \'^[[:space:]]*idle-activation-enabled[[:space:]]*=\' /etc/dconf/db/*.d/* 2>/dev/null | tail -1 | sed -E \'s/^[^=]*=[[:space:]]*//\' | tr -d "\'\\""); [ "$s" = "true" ] && grep -rqxF \'/org/gnome/desktop/screensaver/idle-activation-enabled\' /etc/dconf/db/*/locks/* 2>/dev/null && echo ok; } || echo ko') do
its('stdout.strip') { should eq 'ok' }
endComment vérifier qu’elle est appliquée
Exécutez dconf read /org/gnome/desktop/screensaver/idle-activation-enabled (ou gsettings get org.gnome.desktop.screensaver idle-activation-enabled) ; la sortie attendue est true. Confirmez le verrou avec grep -r idle-activation-enabled /etc/dconf/db/*/locks/.
Inspecter et investiguer
L'activation du screensaver et les transitions d'inactivité sont journalisées dans le journal de la session utilisateur : journalctl --user -u gnome-session et via journalctl _COMM=gnome-shell. L'état courant peut être interrogé en direct avec gnome-screensaver-command -q là où il est disponible.
Remédiation
Le plan de durcissement de Pavois utilise la ressource dconf pour écrire le fichier de clés définissant idle-activation-enabled=true et l'entrée locks/ correspondante, puis exécute dconf update. Appliquez avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | org/gnome/desktop/screensaver/idle-activation-enabled |
|---|---|
| resource | dconf |
| value | true |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Impact faible : le screensaver démarre simplement après le délai d'inactivité configuré. Précaution : les bornes, tableaux de bord ou stations de supervision qui doivent garder l'écran allumé en continu seront interrompus, exemptez ces hôtes (et appuyez-vous plutôt sur leur emplacement à accès contrôlé et leur session non privilégiée), et associez ceci à un idle-delay raisonnable pour ne pas verrouiller les utilisateurs en pleine tâche.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| NIST | 3.1.10 | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 8.2.8 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.