Com pam_script, como eu passo PAM_AUTHTOK e PAM_USER em todos os casos?

Question

Eu preciso executar um script sempre que um usuário insere uma senha; o script deve ser capaz de rejeitar essa senha, mas não deve ser suficiente.

Eu coloquei o script em /etc/pamunlockscript/pam_script_auth e adicionei a seguinte linha no final de /etc/pam.d/common-auth :

auth required pam_script.so dir=/etc/pamunlockscript .

De acordo com man 7 pam-script ,

All  the  scripts  will be passed several environment variables:
PAM_USER,  PAM_RUSER,   PAM_RHOST,   PAM_SERVICE,   PAM_AUTHTOK,
PAM_TTY,   and  PAM_TYPE  referring  to  the  module-type.

Meu script de teste é

#!/bin/sh
echo script: $PAM_AUTHTOK $PAM_USER

Espero que cada programa que use pam faça eco de script: (my password) mic sempre que ele verificar minha senha.

Isso funciona para os programas login e i3lock , mas o script ecoa script: para sudo .