Désinstaller le paquet talk
Garantit que le paquet client talk n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le client talk utilise un protocole de discussion par terminal obsolète et non chiffré. Toute personne sur le chemin réseau peut lire le texte échangé, et le client peut être activé par accident ou par un attaquant. La suppression du paquet élimine cette exposition et réduit la surface d'attaque.
Ce que vérifie Pavois
Pavois vérifie que le paquet talk est absent de la base de paquets. Cette vérification de paquet fait autorité : un binaire talk installé constitue une surface d'attaque exploitable quel que soit le fichier de configuration, donc interroger directement le gestionnaire de paquets est le signal approprié.
describe package('talk') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Sur Debian/Ubuntu, exécutez dpkg -s talk : attendez package 'talk' is not installed ; sur la famille RHEL, exécutez rpm -q talk : attendez package talk is not installed.
Inspecter et investiguer
La suppression est enregistrée dans l'historique du gestionnaire de paquets : grep talk /var/log/dpkg.log (Debian/Ubuntu) ou dnf history / rpm -q --last talk (famille RHEL).
Remédiation
Le plan de durcissement de Pavois déclare la ressource package talk avec l'action remove ; ainsi pavois harden apply la désinstalle via le gestionnaire de paquets système (apt/dnf).
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | talk |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Conserver talk laisse un outil de discussion en clair obsolète pouvant fuiter des données ou être détourné. La suppression présente un faible risque sur les serveurs car talk n'est pas une dépendance opérationnelle. Précaution : si un utilisateur ou un script dépend encore de talk, faites-le migrer vers une alternative chiffrée (session SSH ou messagerie TLS) avant de supprimer le paquet.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| CIS | 2.2.3, 2.2.4 | direct | per OS, see the benchmark table | haute |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.