Désactiver le service Bluetooth
Désactive et arrête le service bluetooth pour supprimer la surface d'attaque sans fil Bluetooth.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
Le service bluetooth expose une surface d'attaque sans fil : les piles Bluetooth ont un historique de vulnérabilités exploitables à distance (par ex. BlueBorne), et un adaptateur actif permet à des attaquants proches de tenter l'appairage, l'écoute ou le pistage de l'appareil. Les serveurs et la plupart des infrastructures fixes n'ont aucun besoin du Bluetooth, donc désactiver le service supprime entièrement l'interface radio et sa pile protocolaire. La décision de risque peut légitimement varier sur des postes reposant sur des périphériques Bluetooth.
Ce que vérifie Pavois
Pavois interroge systemd sur l'état effectif de bluetooth.service (systemctl is-enabled / is-active), détectant un démon en cours d'exécution ou activé par socket/dbus, quel que soit /etc/bluetooth/main.conf. Un scan de fichier ne peut pas confirmer si la pile bluetooth est réellement active et l'adaptateur allumé.
describe service('bluetooth.service') do
it { should_not be_enabled }
it { should_not be_running }
endComment vérifier qu’elle est appliquée
Confirmez que l'unité est désactivée :
systemctl is-enabled bluetooth.service
systemctl is-active bluetooth.service
Attendez disabled (ou masked) et inactive. Confirmez qu'aucun adaptateur n'est actif avec bluetoothctl show (aucun contrôleur par défaut) ou rfkill list bluetooth.
Inspecter et investiguer
Inspectez l'unité avec systemctl status bluetooth.service et journalctl -u bluetooth.service. Les événements d'adaptateur et d'appairage apparaissent aussi dans le journal ; rfkill list bluetooth indique si la radio est bloquée. Présence du paquet : dpkg -s bluez ou rpm -q bluez.
Remédiation
Le plan de durcissement de Pavois agit sur la ressource service nommée bluetooth : il exécute disable (pas de démarrage au boot) puis stop (arrêt immédiat). Appliqué avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| action | disable, stop |
|---|---|
| name | bluetooth |
| resource | service |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Risque de mauvaise configuration : une pile Bluetooth active expose une surface d'attaque sans fil à des adversaires proches. Précautions : désactiver le service casse tout périphérique Bluetooth utilisé, claviers, souris, casques, audio. Sur un serveur géré à distance c'est sans danger, mais sur un poste de travail vérifiez que l'administrateur ne dépend pas d'un périphérique d'entrée Bluetooth (ce qui pourrait le priver de l'accès console local). Aucun impact sur les connexions SSH ou réseau.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 3.1.3 | direct | per OS, see the benchmark table | haute |
| NIST | 3.1.16, AC-18(3), AC-18(a), CM-6(a), CM-7(a), CM-7(b), MP-7 | support | 800-53 Rev 5 · 800-171 Rev 2 (pinned) | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.