Bug 54754

Summary: gdm-smartcard (/etc/pam.d/gdm-smartcard) при подключении токена до входа в сеанс не позволяет в дальнейшем осуществить логин из gdm
Product: Sisyphus Reporter: Белаш Константин <bk>
Component: gdm-dataAssignee: Alexey Shabalin <shaba>
Status: NEW --- QA Contact: qa-sisyphus
Severity: normal    
Priority: P5 CC: aris, cas, eltsovga, manowar, shaba, vercha
Version: unstable   
Hardware: x86_64   
OS: Linux   

Description Белаш Константин 2025-06-09 19:09:29 MSK 
В /etc/pam.d/gdm-smartcard из коробки указано использование pam_pkcs11:
# cat /etc/pam.d/gdm-smartcard
#%PAM-1.0
auth        required    pam_shells.so
auth        required    pam_succeed_if.so quiet uid ne 0
auth        sufficient    pam_succeed_if.so user ingroup nopasswdlogin
auth        required    pam_pkcs11.so wait_for_card card_only
auth        optional    pam_gnome_keyring.so
account        include        system-auth-pkcs11
password    include        system-auth-pkcs11
password    required    pam_pkcs11.so
password    optional    pam_gnome_keyring.so use_authtok
session        substack    common-login
session        optional    pam_console.so
session        required    pam_namespace.so
session        optional    pam_gnome_keyring.so auto_start

При этом pam_pkcs11 из коробки не настроен и аутентификация по токену не может быть пройдена. GDM выдает ошибку:
Error 2304: PKCS#11 module could not be initialized.

Более подробно - https://my.basealt.space/issues/173763
Один из возможных воркэраундов - https://my.basealt.space/issues/173763#note-1 :
# diff /etc/pam.d/gdm-smartcard-default /etc/pam.d/gdm-smartcard
5c5
< auth        required    pam_pkcs11.so wait_for_card card_only
---
> auth        substack    common-login
7,9c7,8
< account        include        system-auth-pkcs11
< password    include        system-auth-pkcs11
< password    required    pam_pkcs11.so
---
> account        include        common-login
> password    include        common-login
Comment 1 manowar@altlinux.org 2025-06-10 12:58:41 MSK 
Привет! На мой взгляд категорически неправильно давать на публичном ресурсе ссылки на закрытый ресурс. Всё, что известно о проблеме, должно быть изложено прямо тут или, в крайнем случае, ссылками на публичные ресурсы.
Comment 2 Белаш Константин 2025-06-10 14:04:09 MSK 
(Ответ для manowar@altlinux.org на комментарий #1)
> Привет! На мой взгляд категорически неправильно давать на публичном ресурсе
> ссылки на закрытый ресурс. Всё, что известно о проблеме, должно быть
> изложено прямо тут или, в крайнем случае, ссылками на публичные ресурсы.

Хорошо, принято. В описании я привел достаточно информации, на мой взгляд.