Como impedir que os usuários alterem sua senha para uma das últimas senhas do X?

Eu tenho um sistema Ubuntu GNOME 15.10 com GNOME 3.18 que gostaria de configurar para que os usuários que o utilizam não possam definir uma nova senha como uma das senhas X anteriores, como isso pode ser alcançado?

Quando altero minha senha, se for muito semelhante ao meu último, meu sistema não me permite alterá-la para essa senha, seria bom que a resposta também pudesse mostrar como estender isso, para que a nova senha também não possa ser alterada. muito semelhante às senhas X gravadas anteriormente.

Nota: O histórico das últimas senhas do X não deve ser armazenado de maneira não criptografada e insegura; na verdade, provavelmente deve ser armazenado da mesma maneira ou de maneira semelhante à maneira como a senha atual é armazenada (como um hash salgado).

Eu usei Xpara representar o número de senhas (isso pode ter qualquer valor) porque quero poder alterar facilmente a quantidade de senhas armazenadas que não podem ser usadas, e também para que outras pessoas possam facilmente aceitar a resposta e usá-la como preferir. desejo, em vez de ter uma resposta que gira em torno de um valor muito definido para X.

Atualização de informações:

Conforme solicitado aqui, está o conteúdo do meu /etc/pam.d/common-passwordarquivo (excluindo os comentários na parte superior) :

# here are the per-package modules (the "Primary" block)
password        [success=1 default=ignore]      pam_unix.so obscure sha512
# here's the fallback if no module succeeds
password        requisite                       pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
password        required                        pam_permit.so
# and here are more per-package modules (the "Additional" block)
password        optional        pam_gnome_keyring.so
# end of pam-auth-update config

Você pode configurar o PAM para fazer isso por você. Basta abrir /etc/pam.d/common-passworde anexar use_authtokà primeira passwordlinha (a que chama o módulo pam_unix), para que fique assim:

password    [success=1 default=ignore]  pam_unix.so obscure sha512 use_authtok

Agora adicione esta linha acima da linha modificada anteriormente:

password    required    pam_pwhistory.so  remember=X

onde Xé o número de senhas anteriores com as quais você deseja verificar uma senha repetida.

Aqui, as Xsenhas anteriores serão armazenadas no formato hash no local/etc/security/opasswd

Portanto, você precisa criar o arquivo se, e somente se ele não existir, e atribuir a permissão 600 ( -rw-------):

sudo touch /etc/security/opasswd
sudo chmod 600 /etc/security/opasswd