Для (одной из, или всех вместе) утилит /usr/bin/chfn, /usr/bin/chsh /usr/bin/passwd снять (1) SUID бит, передающий права суперпользователя при их исполнении. Назначить (2) утилитам минимально необходимые capabilities(7), достаточные для их успешного исполнения. В случае необходимости, изменить исходный код утилит, при помощи прикладывания патча к deb-пакету. Результат оформить в виде bash-сценария, повторяющего ваши действия (1) и (2). В качестве дополнительного задания - включить полученный скрипт в процедуру постинстялляции (postinst) модифицированного deb-пакета. Изменения представить в виде git-репозитария на github.com