¿Por qué algunas personas piensan que las cuentas de Linux con contraseñas son más seguras que las cuentas sin contraseñas?

Realmente depende de lo que llames contraseña menos cuentas . Una cuenta con una contraseña vacía en la base de datos de contraseñas (normalmente / etc / shadow) es altamente insegura porque cualquiera podría usarla. Por otro lado, una contraseña imposible de igualar como * en la misma base de datos impide que alguien inicie sesión con esta cuenta porque ninguna contraseña podría dar tal hash. En este último caso, agregar una contraseña es simplemente inútil y en realidad reduce la seguridad de la cuenta, ya que podría ser imputable.

Tu entendimiento es correcto.

En mi opinión, no hay un beneficio de seguridad al no tener una contraseña cuando tiene la opción de tener una contraseña. Tener una capa de autenticación para un usuario casi siempre será más seguro que no tenerla. Incluso si se expone / etc / shadow, un atacante todavía necesitará descubrir y recuperar / forzar la contraseña de este.

Puede haber situaciones en las que desee que una cuenta no tenga una contraseña, quizás alguna cuenta de servicio o algo así, pero esto no tiene nada que ver con hacer que la cuenta sea más segura y todo que ver con practicidad, conveniencia y / o funcionalidad.

ACTUALIZACIÓN: solo para agregar que se agrega una contraseña cuando ya no existe, tal como lo describe Serge Ballesta Por supuesto, va a introducir algo que puede ser atacado.

La única vez que he visto surgir esta confusión es en una gran organización donde InfoSec ordenó el uso de herramientas de refuerzo de seguridad particulares. Las herramientas a veces tendrían requisitos específicos en cuanto a la fuerza de la contraseña y la rotación, o tendrían requisitos para tener autenticación de contraseña en sudo.

Esto lleva a la discusión incómoda de "sin contraseña" y la confusión sin fin de la administración. Para que quede claro, trato de decir "la autenticación de contraseña no es posible".

En lugar de obtener una exención de seguridad de los requisitos de contraseña, o explicárselo a un auditor, es necesario habilitar la autenticación de contraseña y crear contraseñas.

Esto generalmente es menos seguro, presenta problemas relacionados con los bloqueos y la caducidad que afectan a los métodos de acceso más seguros.

Si verifica las políticas de InfoSec de su compañía y los estándares que deben cumplir, podría explicar la política.