Vérifier le groupe propriétaire de /boot/grub2/user.cfg
Garantit que /boot/grub2/user.cfg (le fichier du mot de passe superutilisateur GRUB) appartient au groupe root (GID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/boot/grub2/user.cfg stocke le mot de passe superutilisateur du chargeur d'amorçage GRUB (sous forme de hachage PBKDF2). Ce mot de passe contrôle l'édition des entrées de démarrage et l'accès au mode mono-utilisateur. Si un groupe non root possède le fichier, ses membres pourraient lire le hachage pour le casser hors ligne ou l'altérer. Définir le groupe sur root (GID 0) garantit que seul le groupe le plus privilégié peut accéder à cette donnée d'authentification du chargeur d'amorçage.
Ce que vérifie Pavois
Pavois lit le GID numérique résolu de /boot/grub2/user.cfg via la ressource InSpec file et vérifie qu'il vaut 0. Il inspecte les métadonnées réelles de l'inode au moment de l'audit, de sorte que le résultat reflète la propriété réelle du fichier plutôt qu'une valeur par défaut documentée.
only_if { file('/boot/grub/user.cfg').exist? }
describe file('/boot/grub/user.cfg') do
its('gid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%g %G' /boot/grub2/user.cfg. La sortie attendue est :
0 root
Affichez-le avec ls -l /boot/grub2/user.cfg pour confirmer que la colonne du groupe indique root.
Inspecter et investiguer
Les changements du fichier d'authentification GRUB ne sont pas journalisés par défaut. Pour les tracer, ajoutez une surveillance auditd (auditctl -w /boot/grub2/user.cfg -p wa -k grub_cfg) et recherchez key="grub_cfg" dans /var/log/audit/audit.log.
Remédiation
Cette règle n'a pas de plan de durcissement automatisé dans Pavois. Appliquez-la manuellement en définissant le groupe sur root : chgrp root /boot/grub2/user.cfg (ou chown :root /boot/grub2/user.cfg).
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| group | root |
|---|---|
| path | /boot/grub/user.cfg |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Si un groupe non root possède ce fichier, le hachage du superutilisateur GRUB peut fuiter, permettant un cassage hors ligne et une altération du démarrage par accès physique. Corriger le groupe propriétaire n'a aucun effet à l'exécution, cela ne change ni le mot de passe ni le flux de démarrage. Précaution : il s'agit d'un chemin de la famille RHEL (GRUB2 BIOS) ; en UEFI le fichier peut se trouver sous /boot/efi/EFI/<distro>/user.cfg. Vérifiez le chemin réel avant d'agir, et ne supprimez ni ne videz le fichier sous peine de désactiver entièrement la protection par mot de passe du chargeur d'amorçage.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R29 | direct | 2.0 | haute |
| CIS | 2.2.6, 1.4.2 | direct | per OS, see the benchmark table | haute |
| NIST | 3.4.5, AC-6(1), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.