Perché alcune persone pensano che gli account macchina Linux con password siano più sicuri degli account senza password?

Dipende molto da ciò che chiami password meno account . Un account con una password vuota nel database delle password (normalmente / etc / shadow) è altamente non sicuro perché chiunque potrebbe usarlo. D'altra parte, una password impossibile da eguagliare come * nello stesso database impedisce a chiunque di accedere con questo account perché nessuna password potrebbe mai dare un tale hash. In quest'ultimo caso, l'aggiunta di una password è solo inutile e riduce effettivamente la sicurezza dell'account perché potrebbe essere forzata bruta.

La tua comprensione è corretta.

Dal mio punto di vista non vi è alcun vantaggio per la sicurezza di non avere una password quando si ha la possibilità di avere una password. Avere uno strato di autenticazione per un utente è quasi sempre più sicuro che non averlo. Anche se / etc / shadow viene esposto, un utente malintenzionato dovrà comunque scoprire e recuperare / forzare la password da essa.

Potrebbero esserci situazioni in cui desideri che un account non abbia una password, forse qualche account di servizio o qualcosa del genere, ma questo non ha nulla per rendere l'account più sicuro e tutto ciò che riguarda praticità, praticità e / o funzionalità.

AGGIORNAMENTO: basta aggiungere che aggiungere una password quando non ce n'è una già come descritto da Serge Ballesta è ovviamente intenzione di introdurre qualcosa che può essere attaccato.

L'unica volta in cui ho visto questa confusione è arrivata in una grande organizzazione in cui InfoSec ha imposto l'uso di particolari strumenti di protezione avanzata. Gli strumenti a volte hanno requisiti specifici sulla forza e sulla rotazione delle password, oppure hanno i requisiti per l'autenticazione della password su sudo.

Questo porta alla discussione imbarazzante di "nessuna password" e alla confusione infinita da parte della direzione. Per essere chiari, provo a dire "l'autenticazione della password non è possibile".

Invece di ottenere un'esenzione dalla sicurezza dai requisiti della password o di spiegarlo a un auditor, diventa necessario abilitare l'autenticazione della password e creare password.

Questo è generalmente meno sicuro, introduce problemi relativi a lockout e scadenza che influiscono sui metodi di accesso più sicuri.

Se controlli le politiche di InfoSec della tua azienda e gli standard di cui hanno bisogno per conformarsi, potrebbe spiegare la politica.