Vérifier l'utilisateur propriétaire du fichier /etc/ipsec.conf
Garantit que le fichier /etc/ipsec.conf appartient à l'utilisateur root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/ipsec.conf contient la configuration IPsec Libreswan : définitions de connexions, algorithmes de chiffrement et politiques de pairs. Si un utilisateur non root le possède, il pourrait affaiblir ou désactiver le chiffrement VPN, rediriger un tunnel vers un pair malveillant ou exposer le trafic, compromettant la confidentialité du réseau. Attribuer la propriété à root garantit un contrôle exclusif de la configuration Libreswan.
Ce que vérifie Pavois
Pavois interroge l'inode réel de /etc/ipsec.conf et vérifie que son propriétaire est l'UID 0. Le contrôle est ignoré sur les systèmes sans Libreswan (fichier absent). Lire les métadonnées réelles du système de fichiers reflète la propriété effective sur laquelle le démon IPsec s'appuie, et non une valeur supposée par défaut.
only_if { file('/etc/ipsec.conf').exist? }
describe file('/etc/ipsec.conf') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %u' /etc/ipsec.conf. La sortie attendue est root 0.
Inspecter et investiguer
L'activité des tunnels IPsec est consignée via journalctl -u ipsec et ipsec status. Pour détecter une altération du fichier, posez une surveillance audit : auditctl -w /etc/ipsec.conf -p wa -k ipsec, puis examinez /var/log/audit/audit.log (recherchez key="ipsec").
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit être corrigée manuellement : exécutez chown root /etc/ipsec.conf pour rétablir la propriété root.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/ipsec.conf |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un propriétaire non root peut réécrire la politique IPsec pour affaiblir ou détourner le VPN, exposant le trafic. La correction présente peu de risque : chown root ne modifie aucune définition de connexion, les tunnels existants continuent de fonctionner. Vérifiez qu'aucun outil de gestion n'écrit le fichier en tant qu'utilisateur non root avant d'appliquer ; le changement prend effet immédiatement, sans redémarrage d'IPsec.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.