Vérifier l'utilisateur propriétaire du fichier /etc/security/opasswd.old
Garantit que la sauvegarde de l'historique des mots de passe /etc/security/opasswd.old appartient à root (UID 0).
Vérifié sur les métadonnées d’un chemin, mode, propriétaire, groupe, SUID/SGID.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le fichier /etc/security/opasswd.old est la sauvegarde écrite par PAM lors de la rotation de /etc/security/opasswd ; il contient lui aussi des empreintes d'anciens mots de passe. Étant une sauvegarde, il est tout aussi sensible : si un compte non-root le possède, ces empreintes peuvent être lues pour un cassage hors-ligne ou l'historique falsifié. Définir root (UID 0) comme propriétaire maintient la sauvegarde sous contrôle privilégié exclusif.
Ce que vérifie Pavois
Pavois inspecte le système de fichiers réel via la ressource InSpec file('/etc/security/opasswd.old') et vérifie uid == 0, protégé par only_if afin d'être ignoré si aucune sauvegarde n'existe encore. Lire le propriétaire réel de l'inode reflète l'état effectif sur le disque et détecte un chown qui exposerait les empreintes sauvegardées.
only_if { file('/etc/security/opasswd.old').exist? }
describe file('/etc/security/opasswd.old') do
its('uid') { should eq 0 }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%U %u %n' /etc/security/opasswd.old. Sortie attendue : root 0 /etc/security/opasswd.old. Le 0 numérique confirme la propriété par root.
Inspecter et investiguer
Surveillez le fichier avec auditctl -w /etc/security/opasswd.old -p wa -k password-history et inspectez /var/log/audit/audit.log (grep 'key="password-history"'). Il est réécrit lors des changements de mot de passe, que PAM journalise aussi dans /var/log/auth.log / journalctl.
Remédiation
Aucune remédiation automatisée n'est fournie pour cette règle. Appliquez-la manuellement avec chown root /etc/security/opasswd.old (en root ou via sudo) ; le fichier doit être en groupe root et mode 0600 pour garder les empreintes illisibles.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| owner | root |
|---|---|
| path | /etc/security/opasswd.old |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un propriétaire non-root peut lire ou falsifier les empreintes sauvegardées, exposant des données d'authentification. Risque à l'application : nul, chown root n'affecte pas la gestion de l'historique par PAM. Précaution : gardez le mode restrictif (0600) ; ne rendez jamais cette sauvegarde lisible par le groupe ou par tous.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 7.1.10 | direct | per OS, see the benchmark table | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.