Чтобы система отклоняла слабый пароль, в стек смены пароля добавляют проверку качества — pwquality.
В образе пароль проверяет только модуль pam_unix с опцией obscure: он ловит грубое — слишком короткий пароль, палиндром, смену одного регистра. Словарное слово password из восьми букв такую проверку проходит. Проверка pwquality знает больше: минимальную длину, число классов символов, словарь. Включают её командой sudo pam-auth-update --enable pwquality — она добавляет в common-password строку pam_pwquality.so.
Правила проверки — в файле /etc/security/pwquality.conf. Две главные строки: minlen — минимальная длина пароля, minclass — сколько разных классов символов в нём обязательно (строчные, прописные, цифры, знаки). Пустой файл означает встроенные значения; свои правила пишут строкой имя = значение.
Главное в шаге
-
По умолчанию пароль проверяет только
pam_unixсobscure— грубые случаи, не словарь. -
pwquality включает
sudo pam-auth-update --enable pwquality: вcommon-passwordпоявляетсяpam_pwquality.so. -
Политика — в
/etc/security/pwquality.conf:minlenзадаёт длину,minclass— число классов символов.