Вероятно, это наш вечный геморрой -- tcb. Я не смотрел и пока не собираюсь, но
патчи приветствуются.

Столкнулся с аналогичной проблемой в образе cosmos. Не знаю как фиксить https://altlinux.space/jill/cosmos

In case of unlocking.

1. In my Cosmic installation (on Alt Atomic, based on Sisyphus, afaik) screen unlocking works fine for password-only authentication. For me, also, nevermind if GDM or Greetd has been used to run cosmic-session with idle daemon.

2. I tried to use 2fa with Yubikey 5 some different ways to test unlocking with multifactor:

 a. I used (removing key's user presence checking):

 auth required pam_u2f.so authfile=/etc/U2F/keys userpresence=0 cue [cue_prompt=FIDO2]

in /etc/pam.d/system-auth-common. This way works.

 b. I also used another setup:

auth required pam_yubico.so mode=challenge-response chalresp_path=/var/yubico                                                                                                       

in /etc/pam.d/system-auth-common. As described in official manual here: https://system76.com/support/yubikey-login

This way is not working properly at all. And I also think, the problem is around pam pam tcb.

Юрий, я подготовил патч. Не посмотрите?

https://git.altlinux.org/gitoskop/#/people/cow/packages/cosmic-greeter.git/-/commit/8a3891e4e094825f6f27eb3f5d9ede405b00387f

(Ответ для Владимир Диденко на комментарий #4)
> Юрий, я подготовил патч. Не посмотрите?
> 
> https://git.altlinux.org/gitoskop/#/people/cow/packages/cosmic-greeter.git/-/
> commit/8a3891e4e094825f6f27eb3f5d9ede405b00387f

Владимир, спасибо. Подготовьте, пожалуйста, задание с src.rpm, я его одобрю.

https://git.altlinux.org/tasks/438612/

Задание ушло в сизиф. Всем поучавствовашим спасибо :)