Vérifier le groupe propriétaire du fichier /etc/ipsec.secrets
Garantit que /etc/ipsec.secrets (identifiants VPN) appartient au groupe root.
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/ipsec.secrets stocke les clés pré-partagées Libreswan et les références de clés privées, les identifiants VPN eux-mêmes. Si un groupe non-root en est propriétaire, ses membres pourraient lire les secrets et usurper le point d'extrémité VPN ou déchiffrer le trafic. Attribuer la propriété de groupe à root garantit que ces identifiants restent sous le contrôle exclusif de root.
Ce que vérifie Pavois
Pavois demande à la ressource file le group résolu de /etc/ipsec.secrets et exige qu'il soit root. Le contrôle est ignoré si le fichier n'existe pas. Lire directement l'appartenance de groupe effective depuis le système est exact et évite toute supposition sur les valeurs par défaut du fichier.
only_if { file('/etc/ipsec.secrets').exist? }
describe file('/etc/ipsec.secrets') do
its('group') { should eq 'root' }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G' /etc/ipsec.secrets. Attendu : root. ls -l /etc/ipsec.secrets affiche le groupe dans la colonne du propriétaire.
Inspecter et investiguer
- Inspecter la propriété et les permissions :
stat -c '%U %G %a' /etc/ipsec.secretsouls -l /etc/ipsec.secrets. - Vérifier que le VPN démarre toujours :
systemctl status ipsec. - Si auditd surveille le fichier, les modifications apparaissent dans
/var/log/audit/audit.log.
Remédiation
pavois harden apply utilise la ressource file pour définir le groupe propriétaire de /etc/ipsec.secrets sur root (équivalent à chgrp root /etc/ipsec.secrets). C'est idempotent et appliqué automatiquement lorsque vous lancez pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/ipsec.secrets |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Une mauvaise appartenance de groupe expose les clés secrètes du VPN, risquant l'usurpation du point d'extrémité du tunnel et le déchiffrement du trafic protégé, une atteinte à la confidentialité des identifiants. Le correctif chgrp est peu risqué ; il ne touche que la propriété, aucun redémarrage n'est normalement requis, mais vérifiez ensuite que le service IPsec charge toujours ses secrets.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.