Vérifier le groupe propriétaire du fichier de sauvegarde shadow
Garantit que /etc/shadow-, la copie de sauvegarde de /etc/shadow (empreintes des mots de passe), a le gid 0 pour groupe propriétaire.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/shadow- est la sauvegarde de /etc/shadow et contient les empreintes des mots de passe de chaque compte local. Si son groupe propriétaire n'est pas le groupe privilégié attendu (gid 0), un groupe non privilégié pourrait lire ces empreintes pour un cassage hors ligne, ou altérer la sauvegarde afin qu'une restauration ultérieure affaiblisse l'authentification du fichier actif. C'est l'un des fichiers les plus sensibles du système.
Ce que vérifie Pavois
Pavois lit la propriété effective de /etc/shadow- depuis l'inode (via stat) et vérifie gid == 0. Contrôler l'inode réel détecte la dérive due aux restaurations manuelles ou aux outils de sauvegarde plutôt que de se fier à un modèle. La garde only_if ignore le contrôle lorsque la sauvegarde est absente.
only_if { file('/etc/shadow-').exist? }
describe file('/etc/shadow-') do
its('gid') { should eq 42 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G %g' /etc/shadow-. Sortie attendue : root 0 (sur Debian/Ubuntu le groupe peut être shadow ; ce contrôle exige spécifiquement le gid 0). Si le fichier de sauvegarde n'existe pas, le contrôle est ignoré.
Inspecter et investiguer
Les changements de propriété ne sont pas journalisés par défaut. Inspectez avec ls -l /etc/shadow- ou stat /etc/shadow-. Avec une surveillance auditd (auditctl -w /etc/shadow- -p wa), les événements chown apparaissent dans /var/log/audit/audit.log.
Remédiation
Aucun plan de durcissement automatisé n'est encore défini pour cette règle ; elle doit donc être appliquée manuellement : exécutez chgrp root /etc/shadow- (ou chown :root /etc/shadow-) pour définir le gid 0. Envisagez aussi de restreindre ses droits à 0000.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | shadow |
|---|---|
| path | /etc/shadow- |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un mauvais groupe propriétaire sur /etc/shadow- peut exposer les empreintes de mots de passe à des utilisateurs non privilégiés, permettant un cassage hors ligne. Précautions : définir le gid 0 est sûr, la sauvegarde n'est pas utilisée par les services en cours, et n'affecte pas la connexion. Sur les systèmes de la famille Debian, notez que le /etc/shadow actif a conventionnellement le groupe shadow ; cette règle impose root (gid 0) sur la sauvegarde, vérifiez donc que votre politique l'attend et qu'aucun outil de sauvegarde ne l'annule.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.2.6, 7.1.6 | direct | per OS, see the benchmark table | haute |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.