← Toutes les règles
SOCLE-CLD-FSP-078// File ownershipmoyenneétat du système de fichiers

Vérifier l'utilisateur propriétaire du fichier /etc/ipsec.conf

Garantit que le fichier /etc/ipsec.conf appartient à l'utilisateur root (UID 0).

Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.

Un PASS prouve✓ actif maintenant✓ sur disque✓ survit au rebootle verdict qualifié →
Debian 12CIS 1.1.0Debian 13CIS 1.0.0FedoraRHEL 10 / Rocky 10 / AlmaLinux 10RHEL 8 / Rocky 8 / AlmaLinux 8CIS 4.0.0RHEL 9 / Rocky 9 / AlmaLinux 9CIS 2.0.0Ubuntu 22.04CIS 3.0.0Ubuntu 24.04CIS 1.0.0Ubuntu 26.04
Un seul check, mappé sur 1 norme

Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.

Pourquoi cette règle

/etc/ipsec.conf contient la configuration IPsec Libreswan : définitions de connexions, algorithmes de chiffrement et politiques de pairs. Si un utilisateur non root le possède, il pourrait affaiblir ou désactiver le chiffrement VPN, rediriger un tunnel vers un pair malveillant ou exposer le trafic, compromettant la confidentialité du réseau. Attribuer la propriété à root garantit un contrôle exclusif de la configuration Libreswan.

Ce que vérifie Pavois

Pavois interroge l'inode réel de /etc/ipsec.conf et vérifie que son propriétaire est l'UID 0. Le contrôle est ignoré sur les systèmes sans Libreswan (fichier absent). Lire les métadonnées réelles du système de fichiers reflète la propriété effective sur laquelle le démon IPsec s'appuie, et non une valeur supposée par défaut.

only_if { file('/etc/ipsec.conf').exist? }
describe file('/etc/ipsec.conf') do
  its('uid') { should eq 0 }
end

Comment vérifier qu’elle est appliquée

Exécutez stat -c '%U %u' /etc/ipsec.conf. La sortie attendue est root 0.

Inspecter et investiguer

L'activité des tunnels IPsec est consignée via journalctl -u ipsec et ipsec status. Pour détecter une altération du fichier, posez une surveillance audit : auditctl -w /etc/ipsec.conf -p wa -k ipsec, puis examinez /var/log/audit/audit.log (recherchez key="ipsec").

Remédiation

Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit être corrigée manuellement : exécutez chown root /etc/ipsec.conf pour rétablir la propriété root.

Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :

ownerroot
path/etc/ipsec.conf
resourcefile
pavois harden plan local

où la cible est local, un alias SSH user@hôte, ou un conteneur , Docs

Impact & précautions

Un propriétaire non root peut réécrire la politique IPsec pour affaiblir ou détourner le VPN, exposant le trafic. La correction présente peu de risque : chown root ne modifie aucune définition de connexion, les tunnels existants continuent de fonctionner. Vérifiez qu'aucun outil de gestion n'écrit le fichier en tant qu'utilisateur non root avant d'appliquer ; le changement prend effet immédiatement, sans redémarrage d'IPsec.

Mapping des normes

NormeRéférenceTypeVersionConfiance
ANSSI BP-028R50direct2.0haute

Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.

Sources & références