PAM: проверка входа, политика паролей и блокировка

PAM (Pluggable Authentication Modules) — библиотека, которой программы поручают проверку пользователя. login, su, sudo, sshd и passwd сами пароль не сверяют: они зовут PAM, а PAM читает файл с именем программы в /etc/pam.d/ и проходит по его модулям. Чтобы поменять политику — длину пароля, блокировку после неудач, — меняют стек модулей, программы трогать не нужно. Файлы читаются при каждом входе, правка действует сразу.

Файл программы обычно подключает общие файлы строкой @include:

student@ubuntu:~$ grep -E '^(auth|@include)' /etc/pam.d/su
auth       sufficient pam_rootok.so
@include common-auth
@include common-account
@include common-session

Так же устроены sudo и sshd: правка common-auth меняет проверку пароля у всех сразу.

Четыре стека

Каждая строка начинается с типа — к какому этапу входа она относится:

Вход по ключу в sshd пропускает стек auth: ключ сверяет сам sshd. Стеки account и session идут и при входе по ключу.

Как читается строка

auth	[success=1 default=ignore]	pam_unix.so nullok

Тип, флаг управления, модуль и его параметры. Модули идут сверху вниз, и флаг говорит, что делать с их ответом:

Стек auth на машине:

student@ubuntu:~$ grep -v '^#' /etc/pam.d/common-auth | grep .
auth	[success=1 default=ignore]	pam_unix.so nullok
auth	requisite			pam_deny.so
auth	required			pam_permit.so
auth	optional			pam_cap.so

Верный пароль: pam_unix перескакивает через одну строку — pam_deny — к pam_permit, вход разрешён. Неверный: следующая строка pam_deny и отказ. Порядок строк здесь — часть логики: строка, вставленная между pam_unix и pam_deny, меняет, куда ведёт success=1.

pam-auth-update

В Ubuntu файлы common-* собирает pam-auth-update из профилей в /usr/share/pam-configs/. На машине их пять: capability, mkhomedir, pwquality, systemd, unix. Профиль — это строки и место, куда их вставить:

student@ubuntu:~$ cat /usr/share/pam-configs/pwquality
Name: Pwquality password strength checking
Default: yes
Priority: 1024
Conflicts: cracklib
Password-Type: Primary
Password:
	requisite			pam_pwquality.so retry=3

На учебной машине профиль выключен. sudo pam-auth-update --enable pwquality включает его и пересобирает common-password:

Первая строка — новая. use_authtok у pam_unix — взять пароль, который уже проверил pam_pwquality, и не спрашивать снова.

Если common-* правили руками, pam-auth-update сначала спрашивает Override local changes to /etc/pam.d/common-*?. Ответ yes пересоберёт файлы из профилей и сотрёт ручные строки, no оставит файлы как есть — и профиль не включится:

pam-auth-update: Local modifications to /etc/pam.d/common-*,
  not updating.
pam-auth-update: Run pam-auth-update --force to override.

pwquality: качество пароля

pam_pwquality проверяет новый пароль при смене. Правила — в /etc/security/pwquality.conf или в файлах /etc/security/pwquality.conf.d/*.conf (каталога на машине нет, его создают mkdir). В pwquality.conf машины всё закомментировано, и действуют значения по умолчанию:

Положительное значение *credit работает иначе: каждый такой символ, до N штук, засчитывается в длину дважды. retry=3 — параметр модуля в строке pam.d: сколько раз passwd переспросит.

Пароль заранее проверяет pwscore. Он читает тот же pwquality.conf, но в PAM не смотрит — правило видно в pwscore ещё до pam-auth-update. Ответ — оценка от 0 до 100 или причина отказа с кодом 1:

student@ubuntu:~$ echo 123 | pwscore
Password quality check failed:
 The password is shorter than 8 characters
student@ubuntu:~$ echo qwerty123 | pwscore
Password quality check failed:
 The password fails the dictionary check - it is based on a
 dictionary word
student@ubuntu:~$ echo 'Lab-Pass-2026' | pwscore
96

С minlen = 12, minclass = 3 и dcredit = -1 отказы такие:

passwd от пользователя печатает те же причины после BAD PASSWORD: и сдаётся после трёх попыток:

deploy@ubuntu:~$ passwd
Changing password for deploy.
Current password:
New password:
BAD PASSWORD: The password contains less than 3 character classes
New password:
BAD PASSWORD: The password is shorter than 12 characters
New password:
BAD PASSWORD: The password contains less than 1 digits
passwd: Have exhausted maximum number of retries for service
passwd: password unchanged

Root без enforce_for_root получает то же BAD PASSWORD, но пароль меняется: sudo passwd deploy печатает предупреждение и password updated successfully, chpasswd — только предупреждение и код 0. С enforce_for_root отказ получает и root — chpasswd выходит с кодом 1 и password not changed.

faillock: блокировка после неудач

pam_faillock считает неудачные входы. Профиля для него в pam-configs нет — его вписывают в common-auth руками, тремя строками вокруг pam_unix:

auth	requisite			pam_faillock.so preauth
auth	[success=1 default=ignore]	pam_unix.so nullok
auth	[default=die]			pam_faillock.so authfail
auth	sufficient			pam_faillock.so authsucc
auth	requisite			pam_deny.so
auth	required			pam_permit.so
auth	optional			pam_cap.so

и строкой account required pam_faillock.so в конец common-account.

Верный пароль перескакивает authfail (success=1) и попадает на authsucc. Бывает вариант без authsucc: у pam_unix стоит success=2, и верный пароль перескакивает сразу authfail и pam_deny. Счётчик тогда обнуляет только строка account, поэтому без неё он растёт и после удачных входов. Настройки — в /etc/security/faillock.conf; на машине там всё закомментировано: deny = 3 неудачи, unlock_time = 600 секунд, fail_interval = 900 — окно, в котором считаются неудачи. Root не блокируется, пока не включён even_deny_root.

Три неверных su - deploy подряд и вход с верным паролем:

student@ubuntu:~$ su - deploy
Password:
su: Permission denied
student@ubuntu:~$ sudo faillock --user deploy
deploy:
When                Type  Source          Valid
2026-10-21 05:06:19 TTY   /dev/pts/0          V
2026-10-21 05:06:24 TTY   /dev/pts/0          V
2026-10-21 05:06:28 TTY   /dev/pts/0          V
student@ubuntu:~$ su - deploy
The account is locked due to 3 failed logins.
(10 minutes left to unlock)
su: Authentication failure

Пароль больше не спрашивают — preauth отказал до него. В журнале:

pam_faillock(su-l:auth): Consecutive login failures for user deploy
  account temporarily locked

Счётчики — файлы /var/run/faillock/<пользователь>. Каталог /run живёт в памяти, и перезагрузка их стирает. Снять блокировку раньше — sudo faillock --user deploy --reset.

Вход по ключу через sshd заблокированную учётную запись пускает: стек auth не идёт, а строка account обнуляет счётчик.

• passwd — смена пароля и /etc/shadow.
• chage — срок действия пароля.
• sudo — тоже проходит через PAM.
• sshd — UsePAM, вход по паролю и по ключу.
• fail2ban — бан адреса после неудачных входов.
• users-groups — учётные записи.
• journalctl — отказы su и sshd в журнале.