Définir l'âge maximal des mots de passe
Garantit que PASS_MAX_DAYS dans /etc/login.defs vaut 365 ou moins, imposant un changement périodique des mots de passe pour les nouveaux comptes.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Tout mot de passe finit par être cassé, ils doivent donc être changés périodiquement. Si le système ne force jamais le changement, un identifiant compromis reste valide indéfiniment. Définir PASS_MAX_DAYS à 365 ou moins borne la durée pendant laquelle un mot de passe fuité ou deviné reste utilisable. (Le fixer trop bas est contre-productif et incite à noter les mots de passe.)
Ce que vérifie Pavois
Pavois utilise la ressource InSpec login_defs pour lire la valeur effective résolue de PASS_MAX_DAYS, en analysant /etc/login.defs comme le font useradd/chage (la dernière valeur non commentée l'emporte). C'est le défaut appliqué aux comptes nouvellement créés ; les valeurs par utilisateur dans /etc/shadow peuvent différer et sont gérées séparément.
describe login_defs do
its('PASS_MAX_DAYS') { should cmp <= 365 }
endComment vérifier qu’elle est appliquée
grep -i '^PASS_MAX_DAYS' /etc/login.defsdoit afficherPASS_MAX_DAYS 365(ou moins).- Par compte existant :
chage -l <user>montreMaximum number of days between password change.
Inspecter et investiguer
grep -i PASS_MAX_DAYS /etc/login.defsmontre le défaut.chage -l <user>montre l'âge maximal effectif de chaque compte./var/log/auth.log(Debian/Ubuntu) ou/var/log/secure(RHEL) enregistrent les expirations et changements de mot de passe via PAM.
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle, elle doit donc être appliquée manuellement : définissez PASS_MAX_DAYS 365 (ou moins) dans /etc/login.defs. Cela ne régit que les comptes nouvellement créés ; utilisez chage --maxdays 365 <user> pour aligner les comptes existants.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| file | /etc/login.defs |
|---|---|
| key | PASS_MAX_DAYS |
| resource | conf_line |
| sep | space |
| value | 365 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Attention : modifier login.defs seul ne change pas les comptes existants, et appliquer chage à tous les utilisateurs peut expirer brutalement les mots de passe si lastchange précède la nouvelle fenêtre, les comptes de service/automatisation peuvent se verrouiller. Excluez ou fixez PASS_MAX_DAYS -1 pour les comptes système non interactifs, et privilégiez l'authentification par clé pour eux. Les recommandations récentes (NIST SP 800-63B) déconseillent la rotation forcée sans preuve de compromission ; alignez-vous sur votre politique.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 5.4.1.1, 8.3.9 | direct | per OS, see the benchmark table | haute |
| NIST | 3.5.6, CM-6(a), IA-5(1)(d), IA-5(f) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| PCI DSS | 8.3.9 | support | 4.0.1 | moyenne |
| DISA STIG | UBTU-22-411030, UBTU-24-400310 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.