Configurer le LoginGraceTime de SSH
Limiter le délai de grâce d'authentification SSH à 60 secondes via LoginGraceTime.
Vérifié sur l’état résolu en cours d’exécution (ex. sshd -T, sysctl, systemctl show), attrape les drop-ins et Include qu’une lecture de fichier raterait. Réserve : runtime ≠ persistance ; une valeur correcte maintenant peut ne pas survivre à un redémarrage.
Pavois vérifie la configuration effective, l’état résolu et réellement appliqué, pas un fichier. Les scanners basés fichier (OVAL/SCAP, Lynis) ratent les Include, drop-ins et défauts runtime ; ce check voit ce qui est réellement en vigueur.
Un mapping est une référence croisée vers l’endroit où chaque norme situe cette exigence, ancrée et recoupée, pas une affirmation d’équivalence. Un check réussi est une preuve vers ces références, comment le lire.
Pourquoi cette règle
LoginGraceTime limite la durée pendant laquelle une connexion peut rester ouverte sans s'authentifier. Le laisser à sa valeur par défaut (120 secondes) maintient plus longtemps des sockets semi-ouverts et non authentifiés, ce qui permet à un attaquant de mobiliser de nombreux créneaux simultanés et de mener lentement des attaques par force brute ou par devinette de mot de passe. Le fixer à 60 réduit cette fenêtre, libère le démon plus vite et diminue l'exposition au déni de service au stade de la connexion.
Ce que vérifie Pavois
Pavois vérifie que la valeur effective rapportée par sshd -T est logingracetime 60. Lire la sortie du démon en cours d'exécution (plutôt que /etc/ssh/sshd_config) capture la valeur réellement appliquée après fusion de tous les Include et de tous les drop-ins sous /etc/ssh/sshd_config.d/, un scan basé sur les fichiers peut manquer une surcharge et signaler un faux succès ou un faux échec.
describe command('sshd -T') do
its('stdout') { should match(/^logingracetime\s+60$/i) }
endComment vérifier qu’elle est appliquée
Exécuter sshd -T | grep -i logingracetime. Sortie attendue :
logingracetime 60
Inspecter et investiguer
L'établissement des connexions et les expirations sont visibles dans /var/log/auth.log (Debian/Ubuntu) ou via journalctl -u ssh / journalctl -u sshd (famille RHEL). Les sessions dépassant le délai de grâce sont fermées avec un message Timeout before authentication.
Remédiation
Le plan de durcissement de Pavois règle la ressource sshd_setting pour la directive logingracetime sur 60, valide la configuration candidate avec sshd -t avant de l'activer, puis déclenche un reload du service ssh pour appliquer la nouvelle valeur. À appliquer avec pavois harden apply.
Pavois applique ceci avec son propre moteur harden, le plan ci-dessous, pas un script shell :
| directive | logingracetime |
|---|---|
| notify | action: reload, service: ssh.service |
| resource | sshd_setting |
| value | 60 |
| verify | sshd -t -f %{path} |
pavois harden plan localoù la cible est local, un alias SSH user@hôte, ou un conteneur , Docs
Impact & précautions
Un délai de grâce court présente peu de risque pour les utilisateurs interactifs, mais peut interrompre les flux d'authentification lents, par exemple les invites carte à puce/PIN, les défis multifacteurs ou les liens à forte latence, si un utilisateur met plus de 60 secondes à s'authentifier. Avant d'appliquer, vérifiez que vos flux MFA/keyboard-interactive aboutissent bien en deçà de la limite, gardez une seconde session root ouverte en cas de mauvaise configuration, et appuyez-vous sur la validation intégrée sshd -t pour qu'une erreur de syntaxe ne casse jamais le service en écoute.
Mapping des normes
| Norme | Référence | Type | Version | Confiance |
|---|---|---|---|---|
| CIS | 2.2.6, 5.1.13, 5.1.14, 5.1.15 | direct | per OS, see the benchmark table | haute |
| PCI DSS | 2.2.6 | support | 4.0.1 | moyenne |
Chaque référence est une référence croisée ancrée dans le benchmark amont et recoupée avec le SCAP Security Guide et ansible-lockdown, pas une affirmation d’équivalence. Direct = une exigence prescriptive au niveau de la ligne ; support = une famille de contrôle abstraite (NIST) vers laquelle le check apporte une preuve. Comment lire un mapping.