Vérifier le groupe propriétaire du fichier /etc/security/opasswd
Garantit que le fichier d'historique des mots de passe /etc/security/opasswd appartient au groupe root (GID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/security/opasswd stocke l'historique des empreintes de mots de passe précédents utilisé par pam_pwhistory/pam_unix pour appliquer la politique anti-réutilisation. Les empreintes qu'il contient sont cassables hors ligne ; si un groupe non root pouvait le lire, ces anciennes empreintes (souvent réutilisées ou alternées) pourraient être attaquées. La propriété de groupe par root (GID 0) maintient cet historique confidentiel et inaltérable.
Ce que vérifie Pavois
Pavois lit l'ID de groupe effectif de /etc/security/opasswd via la ressource InSpec file et vérifie gid == 0, ignorant la règle (via only_if) là où l'historique des mots de passe n'est pas utilisé. Lire l'inode réel reflète la protection effective du fichier à l'instant présent, ce qui compte car PAM crée ce fichier au premier changement de mot de passe, après l'écriture du manifeste de paquet.
only_if { file('/etc/security/opasswd').exist? }
describe file('/etc/security/opasswd') do
its('gid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%G %g' /etc/security/opasswd. Sortie attendue : root 0.
Inspecter et investiguer
Aucun journal de service n'enregistre la propriété de ce fichier ; vérifiez avec stat -c '%n %U %G' /etc/security/opasswd. L'application de l'historique des mots de passe est journalisée par PAM dans /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (RHEL) lors d'un changement de mot de passe.
Remédiation
Aucun plan de remédiation automatique n'est défini ; appliquez-le manuellement : chgrp 0 /etc/security/opasswd (ou chgrp root /etc/security/opasswd).
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /etc/security/opasswd |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Définir le groupe sur root est sûr et n'affecte pas PAM, qui accède au fichier en tant que root, aucun redémarrage de service, aucun risque de blocage. Précaution : conservez un mode restrictif (0600) en plus de la propriété pour que les anciennes empreintes restent illisibles aux utilisateurs ordinaires ; vérifiez que le fichier est un fichier ordinaire avant chgrp.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 7.1.10 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.