Migrate from poor redhat reimplementation of the passwdqc package.

cracklib: ACLs of affected packages (5):
389-ds-base     cas @everybody
libpwquality    aris
mariadb shaba @everybody
netatalk        mike @everybody
revelation      aris

libpwquality: ACLs of affected packages (8):
cockpit slev @everybody
gnome-control-center    aris
gnome-disk-utility      @gnome
gnome-initial-setup     aris
pam_pkcs11      manowar @everybody
plasma5-user-manager    zerg @everybody
seahorse        aris
sirikali        lav

Была ещё идея сделать такой libpwquality чтобы он был прослойкой над passwdqc.

(In reply to Gleb F-Malinovskiy from comment #3)
> Была ещё идея сделать такой libpwquality чтобы он был прослойкой над
> passwdqc.

Можно, наверное, но зачем? Лишняя прослойка => дополнительная кривизна => необязательные баги.

Прошёл год, почти ничего не изменилось:

(In reply to Dmitry V. Levin from comment #2)
> cracklib: ACLs of affected packages (5):

        ACLs of affected packages (4):
 389-ds-base   cas @everybody
 libpwquality  aris
 mariadb       shaba @everybody
 netatalk      mike @everybody

> libpwquality: ACLs of affected packages (8):

        ACLs of affected packages (8):
 cockpit               slev @qa
 gnome-control-center  aris
 gnome-disk-utility    @gnome
 gnome-initial-setup   aris
 pam_pkcs11            manowar @everybody
 revelation            aris
 seahorse              aris
 sirikali              lav

К указанному списку добавлю FreeIPA, в сизиф версия с поддержкой libpwquality еще не попала.

Можно поинтересоваться мотивацией миграции? Насколько совместим passwdqc с libpwquality?

(In reply to Stanislav Levin from comment #6)
> К указанному списку добавлю FreeIPA, в сизиф версия с поддержкой
> libpwquality еще не попала.
> 
> Можно поинтересоваться мотивацией миграции? Насколько совместим passwdqc с
> libpwquality?

Это довольно странная миграция, поскольку мы используем passwdqc раньше, чем libpwquality вообще появилось на свете.  Но в своё время в redhat из соображений совместимости с pam_cracklib решили сделать своё, и к нам оно потом попало через гномовые проекты, которые они пропатчили на использование libpwquality.  В результате у нас в одних местах используется passwdqc, а в других - libpwquality.  Разумеется, было бы хорошо, если бы везде использовалось passwdqc, который изначально лучше libpwquality, а с версии 2.0 становится ещё лучше.

Про сравнение password policy tools что-то написано тут:
https://github.com/systemd/systemd/issues/15055#issuecomment-660194508

Что касается совместимости, то в пакете cryptsetup есть поддержка обоих методов, один из которых можно выбрать во время сборки.

А где можно узнать о том, как пользоваться этой замечательной библиотекой? Например о том, что возвращает passwdqc_params_load() в случае ошибки — 0 или не-0? Манов я не нашёл.

(In reply to manowar@altlinux.org from comment #8)
> А где можно узнать о том, как пользоваться этой замечательной библиотекой?

Есть примеры использования, те же pwqcheck.c в самом passwdqc и функция tools_check_passwdqc в пакете cryptsetup.

> Например о том, что возвращает passwdqc_params_load() в случае ошибки — 0
> или не-0?

В случае ошибки passwdqc_params_load() возвращает -1 и текст описания ошибки в параметр reason.

> Манов я не нашёл.

Манов для 3-й секции ещё никто не законтрибьютил.

(In reply to Dmitry V. Levin from comment #9)
> (In reply to manowar@altlinux.org from comment #8)
> > Манов я не нашёл.
> 
> Манов для 3-й секции ещё никто не законтрибьютил.

Я написал манов для 3-й секции:
https://github.com/openwall/passwdqc/blob/main/libpasswdqc.3

Status update:

cracklib: ACLs of affected packages (5):
 389-ds-base      cas @everybody
 deepin-pw-check  lvol @everybody
 libpwquality     aris
 mariadb          shaba @everybody
 netatalk         mike @everybody
По сравнению с предыдущим замером: +1 (deepin-pw-check).

libpwquality: ACLs of affected packages (6):
 gnome-control-center  aris
 gnome-disk-utility    @gnome
 gnome-initial-setup   aris
 revelation            aris
 seahorse              aris
 sirikali              lav
По сравнению с предыдущим замером: -2 (cockpit, pam_pkcs11).