Если войти в систему по логину/паролю:
$ su -
Ошибка 2308: не найден токен
su: Службе проверки подлинности не удается загрузить сведения аутентификации

Понял, вполне может быть. Не понял по описанию, можно ли в рута зайти из консоли? Напрямую, без su?

(В ответ на комментарий №2)
> Понял, вполне может быть. Не понял по описанию, можно ли в рута зайти из
> консоли? Напрямую, без su?

Да, через Ctrl+Alt+F* - все ОК.

Значит нужно смотреть /etc/pam.d/su .

(В ответ на комментарий №4)
> Значит нужно смотреть /etc/pam.d/su .

# cat /etc/pam.d/su | grep -v ^'#'
auth		sufficient	pam_rootok.so
auth		include		system-auth
account		include		system-auth
password	required	pam_deny.so
session		include		system-auth
session		optional	pam_xauth.so

Результат проверки актуальности

Состояние: pam_pkcs11 жив и сопровождается (0.6.13.1-alt1, 2025), но фикса, адресующего su/system-auth при профиле pkcs11_strict, в changelog с 2017 нет; требование токена в su при card-only-конфигурации отчасти by design.

Рекомендация: ретест на 0.6.13.1; до результатов оставить открытым.