Vérifier l'utilisateur propriétaire du fichier /etc/ipsec.secrets
Garantit que le fichier /etc/ipsec.secrets appartient à l'utilisateur root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/ipsec.secrets stocke les secrets d'authentification IPsec Libreswan : clés pré-partagées (PSK) et clés privées RSA/ECDSA. Si un utilisateur non root le possède, il pourrait lire ces secrets pour usurper l'extrémité du VPN ou déchiffrer du trafic capturé, ou les remplacer pour détourner les tunnels. Attribuer la propriété à root garantit un contrôle exclusif des secrets Libreswan et est critique pour la sécurité du système.
Ce que vérifie Pavois
Pavois interroge l'inode réel de /etc/ipsec.secrets et vérifie que son propriétaire est l'UID 0. Le contrôle est ignoré sur les systèmes sans Libreswan (fichier absent). Lire les métadonnées réelles du système de fichiers reflète la propriété effective sur laquelle le démon IPsec s'appuie pour l'authentification, et non une valeur supposée par défaut.
only_if { file('/etc/ipsec.secrets').exist? }
describe file('/etc/ipsec.secrets') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %u' /etc/ipsec.secrets. La sortie attendue est root 0.
Inspecter et investiguer
L'activité d'authentification IPsec est consignée via journalctl -u ipsec et ipsec status. Pour détecter une altération du fichier, posez une surveillance audit : auditctl -w /etc/ipsec.secrets -p wa -k ipsec, puis examinez /var/log/audit/audit.log (recherchez key="ipsec").
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit être corrigée manuellement : exécutez chown root /etc/ipsec.secrets pour rétablir la propriété root.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/ipsec.secrets |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un propriétaire non root peut lire les PSK et clés privées du VPN, permettant l'usurpation d'extrémité et le déchiffrement du trafic. La correction présente peu de risque : chown root ne modifie pas les secrets, l'authentification continue de fonctionner. Combinez-la avec des permissions strictes (chmod 600) afin que les clés ne soient pas lisibles par d'autres utilisateurs ; le changement s'applique immédiatement, sans redémarrage.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R50 | direct | 2.0 | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.