Vérifier le groupe propriétaire du fichier /etc/security/opasswd.old
Garantit que la sauvegarde de l'historique des mots de passe /etc/security/opasswd.old appartient au groupe root (GID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/security/opasswd.old est la sauvegarde du fichier d'historique des mots de passe que PAM écrit avant de mettre à jour /etc/security/opasswd. Elle contient les mêmes anciennes empreintes cassables. Si un groupe non root pouvait la lire, cette copie secondaire divulguerait le même matériel sensible que le fichier principal protège. La propriété de groupe par root (GID 0) maintient la sauvegarde confidentielle et inaltérable.
Ce que vérifie Pavois
Pavois lit l'ID de groupe effectif de /etc/security/opasswd.old via la ressource InSpec file et vérifie gid == 0, l'ignorant (via only_if) lorsque la sauvegarde n'existe pas. Lire l'inode réel prouve que la sauvegarde est protégée à l'instant présent, PAM la recrée à chaque changement de mot de passe, donc un manifeste figé à l'installation ne peut garantir son propriétaire actuel.
only_if { file('/etc/security/opasswd.old').exist? }
describe file('/etc/security/opasswd.old') do
its('gid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G %g' /etc/security/opasswd.old. Sortie attendue : root 0.
Inspecter et investiguer
Aucun journal de service n'enregistre la propriété de ce fichier ; vérifiez avec stat -c '%n %U %G' /etc/security/opasswd.old. Le changement de mot de passe qui produit la sauvegarde est journalisé par PAM dans /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (RHEL).
Remédiation
Aucun plan de remédiation automatique n'est défini ; appliquez-le manuellement : chgrp 0 /etc/security/opasswd.old (ou chgrp root /etc/security/opasswd.old).
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/security/opasswd.old |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Définir le groupe sur root est sûr et n'affecte pas PAM, qui accède au fichier en tant que root, aucun redémarrage de service, aucun risque de blocage. Précaution : conservez un mode restrictif (0600) en plus de la propriété ; si la sauvegarde n'est plus nécessaire, la supprimer est aussi acceptable, mais ne la rendez jamais lisible par le groupe ou par tous.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 7.1.10 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.