Empêcher les utilisateurs de modifier le verrouillage du screensaver GNOME3 après inactivité
Garantit que la politique de verrouillage du screensaver (lock-enabled) est à la fois définie et verrouillée dans la base dconf du système pour que les utilisateurs ne puissent pas la désactiver.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Définir le verrouillage du screensaver ne suffit pas si un utilisateur peut le désactiver. Cette règle garantit que /org/gnome/desktop/screensaver/lock-enabled est verrouillé dans la base dconf, afin que la politique ne puisse pas être contournée par utilisateur. Sans ce verrou, un utilisateur pourrait désactiver le verrouillage d'écran depuis les Paramètres GNOME et rouvrir silencieusement l'exposition de session non surveillée que la politique visait à fermer.
Ce que vérifie Pavois
Pavois vérifie dans la configuration dconf effective qu'un drop-in sous /etc/dconf/db/*.d/ définit lock-enabled, et surtout que /org/gnome/desktop/screensaver/lock-enabled figure dans un fichier locks/, c'est ce verrou que la règle impose. Lire la base dconf résolue (fichiers de clés de la BD par défaut + verrous) est le seul moyen de confirmer que le réglage n'est pas modifiable, ce qu'une vérification graphique par utilisateur ne pourrait faire.
only_if { command('dconf').exist? }
describe command('{ grep -rqE \'^[[:space:]]*lock-enabled[[:space:]]*=\' /etc/dconf/db/*.d/* 2>/dev/null && grep -rqxF \'/org/gnome/desktop/screensaver/lock-enabled\' /etc/dconf/db/*/locks/* 2>/dev/null && echo ok; } || echo ko') do
its('stdout.strip') { should eq 'ok' }
endComment vérifier qu’elle est appliquée
Confirmez l'entrée de verrou avec grep -r '/org/gnome/desktop/screensaver/lock-enabled' /etc/dconf/db/*/locks/ (elle doit être listée). En tant qu'utilisateur, gsettings set org.gnome.desktop.screensaver lock-enabled false doit être rejeté/sans effet, et dconf read /org/gnome/desktop/screensaver/lock-enabled doit rester true.
Inspecter et investiguer
L'activité de verrouillage/déverrouillage du screensaver est journalisée dans le journal de la session utilisateur : journalctl --user -u gnome-session et via journalctl _COMM=gnome-shell. L'état en direct est exposé via D-Bus par org.gnome.ScreenSaver.
Remédiation
Le plan de durcissement de Pavois utilise la ressource dconf pour écrire à la fois le fichier de clés définissant lock-enabled=true et l'entrée locks/ qui le fige, puis exécute dconf update afin que les utilisateurs ne puissent plus le modifier. Appliquez avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| key | org/gnome/desktop/screensaver/lock-enabled |
|---|---|
| resource | dconf |
| value | true |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Impact faible, mais plus strict que la simple activation : les utilisateurs perdent la possibilité de désactiver le verrouillage d'écran pour leur session. Précaution : c'est intentionnel, n'exemptez que les hôtes (bornes, tableaux de bord) où un écran toujours déverrouillé est une exigence documentée et physiquement contrôlée. Assurez-vous que la valeur verrouillée est la valeur sûre (true) avant de la figer, car le verrou empêche les utilisateurs de corriger une valeur non sûre verrouillée par erreur.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| NIST | 3.1.10 | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.