Как использовать pam_cracklib в OpenWrt?

Question

[Дмитрий Коновалов]

Я включил (через make menuconfig) модуль cracklib в OpenWrt 18, собрал её, отредактировал конфиг /etc/pam.d/common-password следующим образом:

password required pam_cracklib.so sha512 retry=1 difok=-5 minlen=10 dcredit=-2 ucredit=-2 lcredit=-2 ocredit=-2 minclass=4 maxrepeat=2 maxclassrepeat=2 gecoscheck
password pam_unix.so use_authtok nullok md5

Однако на политику паролей это не повлияло, при попытке сменить пароль продолжают действовать стандартные ограничения. Как правильно включить этот модуль?

Comments

[Алексей Черемисин]

А пароль под пользователем меняете, или под рутом?

[Дмитрий Коновалов]

Алексей Черемисин, под пользователем. Под рутом же вообще нет ограничений.

[Алексей Черемисин]

Дмитрий Коновалов, А в pam.d/passwd что? И через passwd пароль меняем?

[Дмитрий Коновалов]

Алексей Черемисин, да, пароль меняю через passwd. Если вы про /etc/passwd, то там обычный список пользователей.

[Алексей Черемисин]

Дмитрий Коновалов, Нет, я про /etc/pam.d/passwd

❯ cat /etc/pam.d/passwd
#%PAM-1.0
password	required	pam_unix.so sha512 shadow nullok

[Дмитрий Коновалов]

Алексей Черемисин, у меня такой отсутствует. Стоит создать и продублировать строку из common-password?

[Алексей Черемисин]

Дмитрий Коновалов, хорошо бы вообще глянуть на весь pam.d (последний раз трогал его палкой года 3 назад). Но стоит создать и продублировать, проблема в 5 минутах ведь.

[Дмитрий Коновалов]

Пока что не завелось. Как-то можно проверить, что cracklib вообще используется, кроме как по наличию so-файла?
А вот так выглядит pam.d:

>>> cat common-account

account [success=1 new_authtok_reqd=done default=ignore] pam_unix.so
account requisite pam_deny.so
account required pam_permit.so

>>> cat common-auth

auth [success=1 default=ignore] pam_unix.so nullok_secure
auth requisite pam_deny.so
auth required pam_permit.so

>>> cat common-password

password required pam_cracklib.so sha512 retry=1 difok=-5 minlen=10 dcredit=-2 ucredit=-2 lcredit=-2 ocredit=-2 minclass=4 maxrepeat=2 maxclassrepeat=2 gecoscheck
password required pam_unix.so use_authtok

>>> cat common-session

session [default=1] pam_permit.so
session requisite pam_deny.so
session required pam_permit.so
session optional pam_umask.so
session required pam_unix.so

>>> cat common-session-noninteractive

session [default=1] pam_permit.so
session requisite pam_deny.so
session required pam_permit.so
session optional pam_umask.so
session required pam_unix.so

>>> cat other

auth include common-auth
account include common-account
password include common-password
session include common-session

>>> cat passwd

#%PAM-1.0
password required /lib/security/pam_cracklib.so pam_cracklib.so retry=1 difok=-5 minlen=10 dcredit=-2 ucredit=-2 lcredit=-2 ocredit=-2 minclass=4 maxrepeat=2 maxclassrepeat=2 gecoscheck
password required pam_unix.so use_authok