PAM: falha de autenticação, com senha válida

Question

Comando

pamtester -v auth pknopf authenticate
pamtester: invoking pam_start(auth, pknopf, ...)
pamtester: performing operation - authenticate
Password:
pamtester: Authentication failure

journctl

Feb 06 13:22:17 PAULS-ARCH unix_chkpwd[31998]: check pass; user unknown
Feb 06 13:22:17 PAULS-ARCH unix_chkpwd[31998]: password check failed for user (pknopf)
Feb 06 13:22:17 PAULS-ARCH pamtester[31997]: pam_unix(auth:auth): authentication failure; logname= uid=1000 euid=1000 tty= ruser= rhost=  user=pknopf

Como está agora, todas as telas de bloqueio me impedirão de "desbloquear" (tela de bloqueio do KDE, i3lock , etc).

Se eu iniciar i3lock como sudo , posso digitar corretamente a senha raiz para desbloquear a tela. No entanto, se eu executar como usuário normal, e não posso usar o usuário normal ou senha de root para desbloquear.

Aqui está minha configuração do PAM para i3lock .

#
# PAM configuration file for the i3lock screen locker. By default, it includes
# the 'system-auth' configuration file (see /etc/pam.d/login)
#
auth include system-auth

Executando ls -l /etc/passwd /etc/shadow /etc/group mostra

-rw-r--r-- 1 root root 803 Feb 6 14:16 /etc/group
-rw-r--r-- 1 root root 1005 Feb 6 14:16 /etc/passwd
-rw------- 1 root root 713 Feb 6 14:16 /etc/shadow

Esta é uma nova instalação do Arch, então não acho que a configuração seja muito complicada. O que devo procurar para depurar isso?

Executando ls -l /sbin/unix_chkpwd mostra

-rwxr-xr-x 1 root root 31392 Jun  9  2016 /sbin/unix_chkpwd

    

Answer 1

A instalação do seu sistema parece estar quebrada. Por alguma razão, o arquivo /sbin/unix_chkpwd perdeu os bits de privilégio que eu esperaria ver.

Corrija as permissões com o seguinte comando, executado como root:

chmod u+s /sbin/chkpwd

E verifique se as permissões agora são as seguintes (veja o s bit nas permissões do usuário):

-rwsr-xr-x 1 root root 31392 Jun  9  2016 /sbin/unix_chkpwd

Na minha distribuição Raspbian, as permissões são definidas de forma ligeiramente diferente (e mais restritivamente). Se a alteração descrita acima não funcionar, cuidadosamente altere as permissões nesses dois arquivos e veja se isso ajuda (o nome do grupo não importa muito, desde que seja o mesmo em ambos os casos):

-rw-r----- 1 root shadow  1354 Dec  6 13:02 /etc/shadow
-rwxr-sr-x 1 root shadow 30424 Mar 27  2017 /sbin/unix_chkpwd