Définir le nombre maximal de caractères identiques consécutifs dans les mots de passe
Limite le nombre de fois où un même caractère peut se répéter consécutivement dans un mot de passe en posant maxrepeat = 3.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Un mot de passe complexe augmente le temps et les ressources nécessaires pour le compromettre. Le paramètre maxrepeat rejette les mots de passe comportant de longues suites du même caractère (ex. aaaa, 1111). Une répétition excessive réduit l'entropie effective et crée des motifs prévisibles exploités par les attaques par devinette et par règles. Plafonner les répétitions à 3 préserve l'aléatoire et résiste à ces attaques.
Ce que vérifie Pavois
Pavois lit la valeur effective de maxrepeat à travers /etc/security/pwquality.conf et tous les drop-ins sous /etc/security/pwquality.conf.d/, en conservant la dernière définition qui l'emporte à l'exécution. Un scanner basé sur les fichiers lisant uniquement la config principale manquerait une valeur posée dans un drop-in. Le contrôle passe uniquement quand la valeur résolue est <= 3 (et non nulle, car 0 désactive le contrôle).
describe command('v=$(grep -rh \'^[[:space:]]*maxrepeat[[:space:]]*=\' /etc/security/pwquality.conf /etc/security/pwquality.conf.d/ 2>/dev/null | tail -1 | grep -oE \'[-]?[0-9]+\'); { [ -n "$v" ] && [ "$v" -le 3 ] && echo ok; } || echo ko') do
its('stdout.strip') { should eq 'ok' }
endComment vérifier qu’elle est appliquée
Exécutez grep -rh '^[[:space:]]*maxrepeat' /etc/security/pwquality.conf /etc/security/pwquality.conf.d/ | tail -1. La ligne effective doit indiquer maxrepeat = 3 (ou toute valeur 1..3).
Inspecter et investiguer
Les changements de mot de passe rejetés pour trop de caractères répétés sont journalisés via PAM dans /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (famille RHEL) avec des messages pam_pwquality comme "Too many same consecutive characters". Inspectez le réglage actif avec grep -r maxrepeat /etc/security/pwquality.conf.d/.
Remédiation
pavois harden apply écrit maxrepeat = 3 dans le drop-in /etc/security/pwquality.conf.d/99-Pavois.conf via la ressource idempotente keyval. Le préfixe 99- garantit qu'il surcharge toute valeur antérieure. Aucun redémarrage n'est requis ; cela s'applique au prochain changement de mot de passe.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| file | /etc/security/pwquality.conf.d/99-pavois.conf |
|---|---|
| key | maxrepeat |
| resource | keyval |
| value | 3 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Les mots de passe existants restent valides ; seuls les nouveaux mots de passe sont contraints. Les utilisateurs choisissant des mots de passe avec quatre caractères identiques consécutifs ou plus seront rejetés. Le risque de blocage est minime ; la principale précaution est de s'assurer que les générateurs automatisés ne produisent pas par hasard de longues suites répétées (rare). Mettre maxrepeat = 0 désactiverait silencieusement le contrôle, vérifiez donc que la valeur est 1..3.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 5.3.3.2.4 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a), IA-5(4), IA-5(c) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.