Désinstaller le serveur telnet compatible SSL
Garantit que le paquet serveur telnet compatible SSL telnetd-ssl n'est pas installé.
Vérifié sur ce qui est installé ou enregistré, paquets présents/absents, bases de comptes.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Même avec un support SSL optionnel, telnetd-ssl reste un serveur telnet hérité : le SSL n'est pas imposé, le protocole retombe en clair, et il duplique un rôle d'accès distant déjà assuré de façon sûre par SSH. Le supprimer élimine un service de connexion superflu et faiblement protégé.
Ce que vérifie Pavois
Pavois vérifie que le paquet telnetd-ssl est absent de la base de paquets. Un binaire présent peut être démarré pour exposer un port de connexion (avec repli possible en clair), donc la requête de paquet est le signal qui fait autorité quel que soit l'état d'une unité inetd/systemd.
describe package('telnetd-ssl') do
it { should_not be_installed }
endComment vérifier qu’elle est appliquée
Exécutez dpkg -s telnetd-ssl : attendez package 'telnetd-ssl' is not installed. Éventuellement, confirmez qu'aucun service n'écoute sur le port 23 avec ss -lntp | grep ':23' (aucune sortie).
Inspecter et investiguer
La suppression est enregistrée dans grep telnetd-ssl /var/log/dpkg.log. Les connexions telnet passées, si le service a tourné, apparaissent dans /var/log/auth.log.
Remédiation
Le plan de durcissement de Pavois déclare la ressource package telnetd-ssl avec l'action remove ; ainsi pavois harden apply la désinstalle via apt.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | remove |
|---|---|
| name | telnetd-ssl |
| resource | package |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un telnetd-ssl installé est un service de connexion redondant et faiblement protégé dont le SSL n'est pas garanti. Précaution avant application : assurez-vous que SSH fonctionne et qu'aucun client ne se connecte en telnet/port 23 ; sinon la suppression pourrait couper un hôte administré via ce service. Une fois SSH vérifié, la suppression est sûre.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| NIST | CM-7(a), CM-7(b), CM-6(a) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.