Définir l'âge minimal des mots de passe
Garantit que PASS_MIN_DAYS dans /etc/login.defs vaut au moins 1, bloquant les changements de mot de passe répétés et immédiats.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Imposer une durée de vie minimale empêche les utilisateurs d'enchaîner rapidement les changements de mot de passe pour contourner les contrôles d'historique/réutilisation. Avec un PASS_MIN_DAYS d'au moins 1, un utilisateur ne peut pas changer son mot de passe puis revenir immédiatement à un mot de passe favori dans la même session, préservant l'intégrité de la politique de réutilisation.
Ce que vérifie Pavois
Pavois utilise la ressource InSpec login_defs pour lire la valeur effective résolue de PASS_MIN_DAYS, en analysant /etc/login.defs comme le font useradd/chage (la dernière valeur non commentée l'emporte). C'est le défaut pour les comptes nouvellement créés ; les valeurs par utilisateur dans /etc/shadow peuvent différer.
describe login_defs do
its('PASS_MIN_DAYS') { should cmp >= 1 }
endComment vérifier qu’elle est appliquée
grep -i '^PASS_MIN_DAYS' /etc/login.defsdoit afficherPASS_MIN_DAYS 1(ou plus).- Par compte existant :
chage -l <user>montreMinimum number of days between password change.
Inspecter et investiguer
grep -i PASS_MIN_DAYS /etc/login.defsmontre le défaut.chage -l <user>montre l'âge minimal effectif de chaque compte./var/log/auth.log(Debian/Ubuntu) ou/var/log/secure(RHEL) enregistrent les changements de mot de passe via PAM.
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle, elle doit donc être appliquée manuellement : définissez PASS_MIN_DAYS 1 dans /etc/login.defs. Cela régit les comptes nouvellement créés ; utilisez chage --mindays 1 <user> pour aligner les comptes existants.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| file | /etc/login.defs |
|---|---|
| key | PASS_MIN_DAYS |
| resource | conf_line |
| sep | space |
| value | 1 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque faible. Attention : un âge minimal non nul signifie qu'un utilisateur devant changer son mot de passe (par exemple après une réinitialisation) ne pourra pas le rechanger avant la fin du délai, définissez correctement le nouveau mot de passe du premier coup. Gardez PASS_MIN_DAYS bien inférieur à PASS_MAX_DAYS pour que les utilisateurs aient toujours une fenêtre de renouvellement avant expiration. Pour les réinitialisations forcées par le support, annulez temporairement le minimum avec chage --mindays 0 <user>.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 5.4.1.2 | direct | per OS, see the benchmark table | haute |
| NIST | 3.5.8, CM-6(a), IA-5(1)(d), IA-5(f) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
| DISA STIG | UBTU-22-411025, UBTU-24-400300 | direct | per OS STIG release | haute |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.