Używam Fedory 19. Domyślnie jest to ustawione z pam, aby wyłączać złe hasła, takie jak „hasło”. To jest dobre. Próba zmiany tego ustawienia domyślnego jest irytująca. To jest pole do testowania rzeczy wewnętrznych, niepodłączonych do Internetu, ani żadnej innej maszyny. Złe hasła ułatwiają proces testowania. Alternatywnie, jak do diabła w ogóle zmieniasz wymagania dotyczące hasła?

system-auth

man pam_cracklibma kilka świetnych przykładów ustawiania różnych wymagań dotyczących hasła. Otwieram więc /etc/pam.d/system-auth, gdzie widać linie takie jak:

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
password    requisite     pam_pwquality.so try_first_pass retry=3 authtok_type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
password    required      pam_deny.so

* headdesk *. Z mojego doświadczenia wynika, że ​​takie ostrzeżenia oznaczają, że twoje zmiany są usuwane za każdym razem, gdy menedżer pakietów jest uruchamiany i / lub losowo.

authconfig

Więc ... authconfigto kolejny krok. Szukam wszystkich plików o nazwie „authconfig”. /etc/sysconfig/authconfigwygląda obiecująco. I nie ma ostrzeżenia u góry przed zniszczeniem moich zmian pod wpływem kaprysu. Znajduję tę linię USEPWQUALITY=yesi zmieniam ją. Teraz biegam:

# authconfig --test
<snip>
pam_pwquality is enabled (try_first_pass retry=3 authtok_type=)
<snip>

wtf. Przeczytajmy man authconfigwięc trochę bliżej. O! Wygląda na to, że ten plik nie został odczytany przez authconfig, został zmieniony . Więc .... jak skonfigurować authconfig? Instrukcja sugeruje system-config-authentication, którą zainstalować i nie zapewnia niczego przypominającego pole wyboru, aby wyłączyć pam_pwquality. Następną sugestią z podręcznika są opcje wiersza poleceń. Świetny! Uwielbiam narzędzia wiersza poleceń. Tylko żadna z udokumentowanych opcji wiersza poleceń nie wyłącza pam_pwquality.

pwquality.conf

Dzięki odpowiedź Aarona, dowiedziałem się, że kilka lat temu fedora zdecydował się /etc/security/pwquality.conf na miejsce, aby skonfigurować wymagań jakościowych hasło. Niestety, jak udokumentowano w pliku i w man 5 pwquality.confnim, (1) nie ma sposobu na wyłączenie sprawdzania słownika i (2) nie można ustawić dozwolonej długości hasła poniżej szóstej.

Po pobieżnym spojrzeniu na kod źródłowy /usr/sbin/authconfigi /usr/share/authconfig/authinfo.py:

• Strona podręcznika jest niekompletna, znajduje się pełna lista opcji akceptowanych przez skrypt authconfig --help
• Wszystko można zastąpić w wierszu poleceń (nawet /etc/security/pwquality.confustawienia takie jak minimalna długość hasła), z wyjątkiem samej pwquality. IMHO, to jest błąd i należy go zgłosić.

• Z authinfo.pylinii 2489 i 2156:

  def read(self):
    self.readSysconfig()
    ...
    self.readPAM(ref)
    ...

  Pierwsze readSysconfigczyta /etc/sysconfig/authconfig; to, co tam umieścisz, zostanie zastąpione readPAMtym, co jest /etc/pam.d/*(szczególnie password_auth*i system_auth*):

    if module.startswith("pam_cracklib") or module.startswith("pam_pwquality"):
       self.setParam("enablePWQuality", True, ref)

TL; DR : w przypadku opcji, które nie są nadpisywane (lub nie mogą być), ustawienia są pobierane z bieżącej konfiguracji, w tym pliki oznaczone automatycznie . Aby to działało, edytuj /etc/sysconfig/authconfig i usuń linie pokazane przezgrep -E pwq\|crack /etc/pam.d/*

Edycja : Istnieje drugi błąd, który sprawia, że ​​powyższe porady nadal nie działają: linia 2248:

    # Special handling for pam_pwquality and pam_passwdqc: there can be
    # only one.
    if self.enablePWQuality and self.enablePasswdQC:
            self.setParam("enablePasswdQC", False, ref)
    if not self.enablePWQuality and not self.enablePasswdQC:
            self.setParam("enablePWQuality", True, ref)

Musisz wybrać jedno z dwóch wdrożeń kontroli jakości, albo jedno zostanie dla Ciebie wybrane! W połączeniu z pierwszym błędem uniemożliwia to wyłączenie.

Możesz przejąć kontrolę nad system-authplikiem. Utwórz nowy plik (możesz zacząć od skopiowania system-auth-ac) i zmień system-authdowiązanie symboliczne, aby wskazywało na nowy plik.

To sprawia, że ​​Twoim obowiązkiem jest zaktualizować tę część konfiguracji PAM, ponieważ authconfig nie będzie już dotykać dowiązania symbolicznego ani pliku, na który wskazuje. Jednak authconfig nadal aktualizuje system-auth-acplik, więc możesz nadal używać go jako odniesienia, jeśli zajdzie taka potrzeba. Przy odrobinie sprytu możesz nawet znaleźć includeto w swojej lokalnej kopii, ale jak to zrobić, wykracza poza zakres tego pytania.

Powinieneś także sprawdzić, czy istnieją inne dowiązania symboliczne, takie jak password-auth. Może być konieczne zapewnienie im takiego samego traktowania.

Z strony authconfig(8)man pod Files:

/etc/pam.d/system-auth
    Common PAM configuration for system services which include it using
    the include directive. It is created as symlink and not relinked if
    it points to another file.

/etc/pam.d/system-auth-ac
    Contains the actual PAM configuration for system services and is the
    default target of the /etc/pam.d/system-auth symlink. If a local
    configuration of PAM is created (and symlinked from system-auth
    file) this file can be included there. 

Więc jeśli system-authjest plikiem, to authconfig zmienia go na link do system-auth-ac. Ale jeśli system-authjest dowiązaniem symbolicznym, to authconfig pozostawia go w spokoju.

Wygląda na konfigurowalny /etc/security/pwquality.conf

Źródło: https://fedoraproject.org/wiki/Features/PasswordQualityChecking

Nadal możesz zmienić z wiersza poleceń. Otrzymasz ostrzeżenie, ale pozwoli ci ustawić hasło, które jest zbyt krótkie, a także takie, które nie spełnia reguł złożoności.

Właśnie znalazłem to pytanie w oparciu o podobne wyszukiwanie i myślę, że mam dla ciebie odpowiedź.

Fedora tworzy dowiązania symboliczne do plików generowanych przez authconfig. to znaczy. system-authlinki do system-auth-ac. Jeśli utworzysz system-authwłasny plik, teoretycznie wszelkie przyszłe zmiany dokonane przez auth-configbędą nadal aktualizowane, system-auth-acale zmodyfikowane pliki pozostaną niezmienione.

W rzeczywistości jest dość elegancki, ale odkryłem go tylko, zastanawiając się, co *-aczrobiły pliki.