Vérifier les permissions du fichier de sauvegarde gshadow
Garantit que le fichier de sauvegarde /etc/gshadow- n'est ni lisible, ni modifiable, ni exécutable par le propriétaire, le groupe et les autres, sans bit spécial, soit le mode 0000.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
/etc/gshadow- est la sauvegarde de /etc/gshadow et contient les hachages de mots de passe de groupe et la liste des administrateurs de groupe. Tout accès en lecture par le groupe ou les autres expose ces hachages à un cassage hors ligne, et tout accès en écriture permet à un attaquant de falsifier des identifiants de groupe qui deviennent effectifs si la sauvegarde est restaurée. Ce fichier doit être en mode 0000 (aucune permission, accédé uniquement par root via des outils privilégiés) et appartenir à root.
Ce que vérifie Pavois
Pavois lit les bits de mode réels de /etc/gshadow- via la ressource InSpec file. Les matchers sont inhabituellement stricts, même la lecture/écriture du propriétaire est rejetée, car le fichier ne doit être accédé que par root via des outils setuid (gpasswd, vigr), qui contournent le DAC. Inspecter l'inode réel détecte une sauvegarde laissée lisible par une copie négligente. La garde only_if ignore le contrôle si aucune sauvegarde n'existe.
only_if { file('/etc/gshadow-').exist? }
describe file('/etc/gshadow-') do
it { should_not be_executable.by('owner') }
it { should_not be_setuid }
it { should_not be_executable.by('group') }
it { should_not be_writable.by('group') }
it { should_not be_setgid }
it { should_not be_executable.by('other') }
it { should_not be_writable.by('other') }
it { should_not be_readable.by('other') }
it { should_not be_sticky }
endComment vérifier qu’elle est appliquée
Exécutez stat -c '%a %U %G %n' /etc/gshadow-. La sortie attendue est 0 root root /etc/gshadow- (mode 0000).
Inspecter et investiguer
La sauvegarde est régénérée par les outils de gestion de groupes (gpasswd, groupadd, groupmod, vigr) ; leur activité apparaît dans /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (famille RHEL). Suivez l'accès en lecture/permission via une règle auditd et grep gshadow- /var/log/audit/audit.log.
Remédiation
Aucune remédiation automatique n'est définie ; appliquez-la manuellement : chown root:root /etc/gshadow- && chmod 0000 /etc/gshadow-. Root le lit toujours via des outils privilégiés, donc le mode 0000 ne casse rien.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| mode | 0640 |
|---|---|
| path | /etc/gshadow- |
| resource | file |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque en cas de non-application : des hachages de mots de passe de groupe exposés peuvent être cassés hors ligne, et une sauvegarde modifiable peut injecter des identifiants de groupe falsifiés lors d'une restauration. Précautions : le mode 0000 est la valeur par défaut historique des sauvegardes shadow et est totalement transparent, root et les outils de groupe setuid (gpasswd, vigr) y accèdent quels que soient les bits DAC. Aucun service ne le lit directement, donc aucun risque de blocage.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 7.1.8 | direct | per OS, see the benchmark table | haute |
| NIST | AC-6 (1) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.