Vérifier l'utilisateur propriétaire du fichier de sauvegarde passwd
Garantit que le fichier de sauvegarde des mots de passe /etc/passwd- appartient à l'utilisateur root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le fichier /etc/passwd- est la sauvegarde de /etc/passwd et contient la liste complète des comptes utilisateurs (noms, UID, GID, répertoires personnels, shells). S'il n'appartient pas à root, un utilisateur non privilégié pourrait lire ou altérer ces données, ouvrant la voie à l'énumération des comptes ou à une élévation de privilèges via des entrées falsifiées. Les fichiers de sauvegarde sont souvent oubliés, ce qui en fait une cible facile.
Ce que vérifie Pavois
Pavois lit le propriétaire effectif de /etc/passwd- via la ressource file d'InSpec et vérifie uid == 0. Le contrôle est encadré par only_if { file('/etc/passwd-').exist? }, donc ignoré en l'absence de sauvegarde. L'inspection de la propriété réelle de l'inode reflète l'état exact sur le disque, y compris les changements opérés après la dernière écriture par des outils comme passwd ou useradd.
only_if { file('/etc/passwd-').exist? }
describe file('/etc/passwd-') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %u' /etc/passwd-. Résultat attendu : root 0. Sinon, ls -l /etc/passwd- doit afficher root dans la colonne du propriétaire.
Inspecter et investiguer
La propriété ne génère aucun journal de service. Vérifiez l'état courant avec stat -c '%U %u' /etc/passwd-. Pour tracer tout changement, une surveillance auditd telle que auditctl -w /etc/passwd- -p wa -k passwd-backup enregistre les écritures/changements d'attributs dans /var/log/audit/audit.log.
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit être appliquée manuellement : exécutez chown root /etc/passwd- en root pour fixer le propriétaire à root.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/passwd- |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
En cas de mauvaise configuration, les données de comptes contenues dans la sauvegarde peuvent être lues ou modifiées par des utilisateurs non root, facilitant l'énumération ou l'élévation de privilèges.
Précautions avant application : chown root /etc/passwd- est sans impact et réversible. Vérifiez que vous ciblez bien le fichier de sauvegarde (suffixe -), pas /etc/passwd. Aucun redémarrage de service n'est requis et aucun risque de blocage n'existe.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.2.6, 7.1.2 | direct | per OS, see the benchmark table | haute |
| NIST | AC-6 (1) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.