Vérifier le groupe propriétaire du fichier /etc/ipsec.conf
Garantit que /etc/ipsec.conf appartient au groupe root.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/ipsec.conf contient la configuration IPsec/VPN de Libreswan. Si un groupe non-root en est propriétaire, ses membres pourraient modifier les définitions de tunnels, affaiblir la cryptographie ou rediriger le trafic. Attribuer la propriété de groupe à root assure le contrôle exclusif de la configuration VPN et empêche toute altération par des utilisateurs non privilégiés.
Ce que vérifie Pavois
Pavois demande à la ressource file le group résolu de /etc/ipsec.conf et exige qu'il soit root. Le contrôle est ignoré si le fichier n'existe pas (Libreswan non installé). Lire directement l'appartenance de groupe effective du fichier est exact et indépendant de la distribution.
only_if { file('/etc/ipsec.conf').exist? }
describe file('/etc/ipsec.conf') do
its('group') { should eq 'root' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /etc/ipsec.conf. Attendu : root. ls -l /etc/ipsec.conf affiche le groupe dans la colonne du propriétaire.
Inspecter et investiguer
- Inspecter la propriété :
stat -c '%U %G %a' /etc/ipsec.confouls -l /etc/ipsec.conf. - Vérifier que la config VPN se charge toujours :
ipsec verify/systemctl status ipsec. - Si auditd surveille le fichier, les modifications apparaissent dans
/var/log/audit/audit.log.
Remédiation
pavois harden apply utilise la ressource file pour définir le groupe propriétaire de /etc/ipsec.conf sur root (équivalent à chgrp root /etc/ipsec.conf). C'est idempotent et appliqué automatiquement lorsque vous lancez pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/ipsec.conf |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Une mauvaise appartenance de groupe permet à un groupe non-root d'altérer les réglages VPN/IPsec, affaiblissant ou réacheminant potentiellement le trafic chiffré. Le correctif est un changement de groupe peu risqué ; comme il n'ajuste que la propriété (pas le contenu), aucun redémarrage de service n'est normalement nécessaire, mais confirmez ensuite que le service IPsec analyse toujours sa configuration.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.