PAM: политика паролей и блокировка

Чтобы подбор пароля не шёл бесконечно, в стек входа добавляют счётчик промахов — faillock.

Модуль pam_faillock считает неудачные попытки входа для каждой учётной записи и запирает её, когда их становится слишком много. В образе его в стеке нет, поэтому промахи ничем не кончаются. Подключают его двумя строками в common-auth: preauth до pam_unix — проверить, не заперта ли учётка; authfail после — засчитать промах. Готовой настройки для pam-auth-update у faillock нет: строки вписывают руками, сохранив копию файла. Порог и срок — в /etc/security/faillock.conf: deny — сколько промахов до блокировки, unlock_time — через сколько секунд замок откроется сам.

Запертую учётку показывает faillock --user <имя> — список промахов. Снимает замок досрочно faillock --user <имя> --reset. Промахи считаются по учётной записи, в которую входят, — кто бы ни входил; root блокировка не трогает, поэтому запертую учётку всегда можно разблокировать.

Настрой блокировку так, чтобы webadmin запиралась после трёх промахов, и проверь это действием.