Garantir que PAM impose des exigences de mot de passe - Minimum de catégories différentes
Force pam_pwquality à exiger des caractères d'au moins 4 classes distinctes (minuscules, majuscules, chiffres, spéciaux) dans chaque nouveau mot de passe en posant minclass = 4.
Vérifié sur le contenu d’un fichier de configuration persistant, la source de vérité qui survit aux redémarrages.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Un mot de passe complexe augmente le temps et les ressources nécessaires pour le compromettre. Le paramètre minclass exige un nombre minimal de catégories de caractères distinctes (minuscules, majuscules, chiffres, spéciaux). Exiger 4 catégories élargit l'espace de recherche bien plus que la seule longueur et résiste au devinement par motifs. Sans cela, un mot de passe long mais d'une seule catégorie (ex. uniquement des lettres) reste faible face aux attaques par dictionnaire et par règles.
Ce que vérifie Pavois
Pavois lit la valeur effective de minclass à travers /etc/security/pwquality.conf et tous les drop-ins sous /etc/security/pwquality.conf.d/, en conservant la dernière définition qui l'emporte à l'exécution. Un scanner basé sur les fichiers lisant uniquement la config principale manquerait une valeur posée dans un drop-in. Le contrôle passe uniquement quand la valeur résolue est >= 4.
describe command('v=$(grep -rh \'^[[:space:]]*minclass[[:space:]]*=\' /etc/security/pwquality.conf /etc/security/pwquality.conf.d/ 2>/dev/null | tail -1 | grep -oE \'[-]?[0-9]+\'); { [ -n "$v" ] && [ "$v" -ge 4 ] && echo ok; } || echo ko') do
its('stdout.strip') { should eq 'ok' }
endComment vérifier qu’elle est appliquée
Exécutez grep -rh '^[[:space:]]*minclass' /etc/security/pwquality.conf /etc/security/pwquality.conf.d/ | tail -1. La ligne effective doit indiquer minclass = 4 (ou toute valeur >= 4).
Inspecter et investiguer
Les changements de mot de passe rejetés pour trop peu de classes de caractères sont journalisés via PAM dans /var/log/auth.log (Debian/Ubuntu) ou /var/log/secure (famille RHEL) avec des messages pam_pwquality comme "not enough character classes". Inspectez le réglage actif avec grep -r minclass /etc/security/pwquality.conf.d/.
Remédiation
pavois harden apply écrit minclass = 4 dans le drop-in /etc/security/pwquality.conf.d/99-Pavois.conf via la ressource idempotente keyval. Le préfixe 99- garantit qu'il surcharge toute valeur antérieure. Aucun redémarrage n'est requis ; cela s'applique au prochain changement de mot de passe.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| file | /etc/security/pwquality.conf.d/99-pavois.conf |
|---|---|
| key | minclass |
| resource | keyval |
| value | 4 |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Exiger les 4 classes est strict et peut entrer en conflit avec les réglages credit par classe ; notez que minclass et les paramètres Xcredit interagissent dans pwquality. Les mots de passe existants restent valides ; seuls les nouveaux mots de passe doivent couvrir 4 classes. Le risque de blocage est faible, mais avant d'appliquer, confirmez que vos outils de provisionnement et de rotation génèrent des mots de passe à quatre classes, et considérez que certaines politiques d'entreprise privilégient la longueur aux classes imposées.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| ANSSI BP-028 | R68 | direct | 2.0 | haute |
| CIS | 5.3.3.2.3 | direct | per OS, see the benchmark table | haute |
| NIST | CM-6(a), IA-5(1)(a), IA-5(4), IA-5(c) | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.