S'assurer que le groupe shadow est vide
Garantit que le groupe shadow n'a aucun membre, afin qu'aucun utilisateur n'obtienne d'accès en lecture à /etc/shadow et à ses empreintes de mots de passe.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Sous Debian/Ubuntu, le fichier /etc/shadow appartient au groupe shadow et est lisible par ce groupe. Tout utilisateur placé dans le groupe shadow obtient donc un accès en lecture aux empreintes de mots de passe de tous les comptes ainsi qu'aux données de vieillissement. Avec ce fichier, un attaquant peut lancer un outil de cassage hors-ligne contre les empreintes et exploiter les champs d'expiration pour cibler d'autres comptes. Le groupe shadow est destiné aux démons (via des binaires setgid), pas à des personnes ; il ne doit donc avoir aucun membre.
Ce que vérifie Pavois
Pavois inspecte le champ des membres de l'entrée shadow telle que résolue sur le système en cours d'exécution. Lire l'appartenance effective au groupe importe car un utilisateur peut aussi avoir shadow comme groupe primaire ou via un backend NSS ; l'état visé est qu'aucun compte humain ne liste shadow parmi ses groupes supplémentaires.
describe command('awk -F: \'($1=="shadow"){print $4}\' /etc/group') do
its('stdout.strip') { should eq '' }
endComment vérifier qu’elle est appliquée
Listez le groupe shadow et confirmez que le champ des membres est vide :
getent group shadow, la sortie attendue se termine par un champ vide, par ex.shadow:x:42:(rien après le dernier deux-points).awk -F: '($1=="shadow"){print $4}' /etc/group, la sortie attendue est vide.
Inspecter et investiguer
Les modifications d'appartenance aux groupes sont enregistrées par les outils de gestion des comptes :
grep -E 'shadow' /var/log/auth.log, affiche les actionsusermod/gpasswdtouchant le groupe shadow.getent group shadowest la commande de référence pour l'état courant ; comparez-la avant et après toute modification.
Remédiation
Aucun plan de durcissement automatisé n'est défini pour cette règle ; elle doit être appliquée manuellement : retirez chaque utilisateur du groupe shadow avec gpasswd --delete <user> shadow (et corrigez tout compte dont le groupe primaire est shadow avec usermod -g <autre> <user>) jusqu'à ce que getent group shadow n'affiche plus de membres.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| command | getent group shadow # gpasswd -d <user> shadow for each unexpected member |
|---|---|
| reason | removing members from the shadow group is deliberate (they lose shadow access) |
| resource | manual |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque si non appliqué : tout membre du groupe shadow peut lire chaque empreinte de mot de passe de l'hôte, permettant le cassage hors-ligne et les déplacements latéraux.
Précautions avant application : vérifiez pourquoi chaque membre a été ajouté, certains outils anciens ou agents de supervision peuvent dépendre de l'accès en lecture à shadow. Déplacez-les vers un assistant setgid dédié ou accordez l'accès de façon ciblée plutôt que de laisser des humains dans le groupe. Retirer des membres ne perturbe pas la connexion elle-même, car les lectures de /etc/shadow par PAM se font en root, pas via le groupe.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 7.2.4, 8.3.2 | direct | per OS, see the benchmark table | haute |
| PCI DSS | 8.3.2 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.