Désinstaller le paquet talk-server
Garantit que le paquet talk-server (talkd) n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
talk-server expose un service réseau (talkd) pour le protocole talk obsolète et non chiffré. Un serveur actif permet à des utilisateurs distants d'initier des sessions en clair et ajoute un service réseau non authentifié. La suppression du paquet élimine ce service et réduit la surface d'attaque.
Ce que vérifie Pavois
Pavois vérifie que le paquet talk-server est absent de la base de paquets. La vérification de paquet fait autorité : si le binaire serveur est présent, il peut être (re)démarré et exposer un service en clair, donc interroger directement le gestionnaire de paquets est le bon signal.
describe package('talk-server') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Exécutez rpm -q talk-server : attendez package talk-server is not installed. Éventuellement, confirmez qu'aucun service n'écoute avec ss -lntup | grep talk.
Inspecter et investiguer
La suppression est enregistrée par le gestionnaire de paquets : dnf history ou rpm -q --last talk-server. L'activité passée de talkd (s'il a tourné) apparaît dans journalctl / /var/log/messages.
Remédiation
Le plan de durcissement de Pavois déclare la ressource package talk-server avec l'action remove ; ainsi pavois harden apply la désinstalle via dnf.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | talk-server |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un talk-server installé est un service réseau en clair dormant pouvant être activé et détourné. La suppression présente un faible risque car le protocole talk n'a aucun usage opérationnel moderne. Précaution : vérifiez qu'aucun flux hérité ne dépend de talkd avant suppression ; fournissez une alternative chiffrée si un utilisateur a réellement besoin de messagerie interactive.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R62 | direct | 2.0 | haute |
| PCI DSS | 2.2.4 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.