# Linux-PAM 1.6.1 — biblioteca de autenticación (libpam). La pide `mirada-greeter` vía auth-core →
# crate `pam` → `pam-sys` (bindgen sobre `security/pam_appl.h`, enlaza libpam). Provee los headers
# `security/pam_*.h` + libpam.so para el build, y libpam en runtime para el login.
# Build mínimo: sin docs (evita xmlto/docbook), sin NLS, sin examples. autotools split (como expat).
name    = "linux-pam"
version = "1.6.1"
license = "BSD-2-Clause"

[source]
tarball = "https://github.com/linux-pam/linux-pam/releases/download/v1.6.1/Linux-PAM-1.6.1.tar.xz"
sha256  = "f8923c740159052d719dbfc2a2f81942d68dd34fcaf61c706a02c9b80feeef8e"

[build]
compiler = "gcc"
target   = "x86_64-linux-musl"
link     = "dynamic"
flags    = []

[build.phases]
configure = './configure --build=$CBUILD --host=$CHOST --prefix=/usr --disable-doc --disable-nls --disable-examples --disable-Werror'
compile   = 'make'
install   = 'make DESTDIR=/out install'

[deps]
build = ["flex", "pkgconf", "make"]

# ── EL BIT DE PRIVILEGIO (SDD 28 §5.11, `[[setuid]]`) ─────────────────────────────────────────────
# Declarado el 2026-10-15, al medir los artefactos del store: los binarios de abajo salen todos
# `-rwxr-xr-x` y en cualquier otra distro son setuid. El hueco estaba ANOTADO —el encabezado de
# `crates/takana-core/src/setuid.rs` los lista uno por uno— y era LATENTE mientras el instalador
# solo pusiera contrasena de root. Desde que `lib/cuenta.sh` crea una cuenta de persona, dejo de
# ser latente: hay un humano no-root que los choca a todos.
#
# Es metadato (fuera de `hash_inputs`), asi que entra en una receta YA SELLADA sin mover un solo
# `ArtifactHash` — comprobado con `takana hash --check` antes y despues.
[[setuid]]
path = "sbin/unix_chkpwd"
mode = "4755"
why  = "es con lo que PAM verifica una contrasena cuando el que pregunta NO es root, y por eso es el mas grave de la lista: sin el bit, `pam_unix` no puede leer /etc/shadow y el greeter de mirada no puede autenticar a NADIE — con la contrasena correcta. El sintoma no menciona el privilegio, dice que la contrasena esta mal. Ver SDD 28 §5.11, que lo anticipo: «fallan a la vez el cambio de contrasena, el mount de usuario, FUSE, ping y —peor— unix_chkpwd»."