Чтобы построить на основе ответа Стивена Харриса, вот построенное мной представление в реальном времени, которое показывает, что модифицированный скрипт аутентификации PAM сможет захватывать при подключении к блоку поверх ssh (своего рода приманка). Я использую модифицированную версию библиотеки PAM lib-storepw.