Comment empêcher les utilisateurs de remplacer leur mot de passe par l'un des derniers mots de passe X?

J'ai un système Ubuntu GNOME 15.10 avec GNOME 3.18 que je voudrais configurer pour que les utilisateurs qui l'utilisent ne puissent pas définir un nouveau mot de passe comme l'un des mots de passe X précédents, comment y parvenir?

Lorsque je change mon mot de passe, s'il est trop similaire à mon dernier, mon système ne me permet pas de le changer pour ce mot de passe, il serait bon que la réponse montre également comment l'étendre afin que le nouveau mot de passe ne puisse pas non plus être trop similaire aux mots de passe X enregistrés précédemment.

Remarque: L'historique des derniers mots de passe X ne doit pas être stocké de manière non cryptée non sécurisée, en fait, ils doivent probablement être stockés de la même manière ou d'une manière similaire à la façon dont le mot de passe actuel est stocké (comme un hachage salé).

J'ai utilisé Xpour représenter le nombre de mots de passe (cela peut avoir n'importe quelle valeur) parce que je veux pouvoir changer facilement la quantité de mots de passe stockés qui ne peuvent pas être utilisés, et aussi pour que d'autres puissent facilement prendre la réponse et l'utiliser comme ils souhaite plutôt que d'avoir une réponse qui tourne autour d'une valeur très définie pour X.

Mise à jour des informations:

Comme demandé ici est le contenu de mon /etc/pam.d/common-passwordfichier (à l'exclusion des commentaires en haut) :

# here are the per-package modules (the "Primary" block)
password        [success=1 default=ignore]      pam_unix.so obscure sha512
# here's the fallback if no module succeeds
password        requisite                       pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
password        required                        pam_permit.so
# and here are more per-package modules (the "Additional" block)
password        optional        pam_gnome_keyring.so
# end of pam-auth-update config

Vous pouvez configurer PAM pour cela. Il suffit d'ouvrir /etc/pam.d/common-passwordet d'ajouter use_authtokà la première passwordligne (celle qui appelle le module pam_unix) pour qu'elle ressemble un peu à ceci:

password    [success=1 default=ignore]  pam_unix.so obscure sha512 use_authtok

Ajoutez maintenant cette ligne au-dessus de la ligne précédemment modifiée:

password    required    pam_pwhistory.so  remember=X

où Xest le nombre de mots de passe précédents par rapport auxquels vous souhaitez rechercher un mot de passe répétitif.

Ici, les Xmots de passe précédents seront stockés sous forme de hachage à l'emplacement/etc/security/opasswd

Vous devez donc créer le fichier si et seulement s'il n'existe pas et lui attribuer l'autorisation 600 ( -rw-------):

sudo touch /etc/security/opasswd
sudo chmod 600 /etc/security/opasswd