有什么理由拥有强用户密码？

Question

我最近决定将我（非常）强的用户密码更改为一些微不足道的东西。

这主要是为了消除每次 sudo 或其他任何时候输入长密码的挫败感。

我的问题是，是否有任何理由使用强用户密码？考虑到我在我的机器上运行的大多数服务不使用 PAM 进行身份验证：

• apache2 - 使用 .htpasswd 进行访问
• sshd -仅允许私钥
• 传输 - 使用自己的 http 身份验证
• mpd - 使用自己的身份验证
• samba - 仅限于局域网

对盒子的物理访问是不可能的。

Answer 1

拥有密码的原因就是拥有强密码甚至非常强的密码，原因之一是保护您免受未经授权的访问。

如果您确定您的电脑绝对安全并且不需要密码，您可能需要查看以下问题：

• 如何在没有密码的情况下使用 sudo 运行应用程序
• 如何防止policykit要求输入密码
• 更改密码时如何更改/禁用密码复杂性测试？

Answer 2

如果您不运行任何服务（例如 apache2），那么这不是什么大问题。

如果您在 Virtualbox 或 Docker 或类似情况下运行此类服务，那么您将受到保护（假设您在没有强密码的情况下不允许这些设备访问您自己的计算机）。

如果您直接在主机上运行一项或多项服务，那么您就面临风险。也就是说，在大多数情况下，你都没有问题，但如果该服务有一扇门可以让黑客渗透你的系统，那么强密码可以帮助你阻止黑客获得 root 访问权限。

当然，在许多情况下，服务黑客直接向黑客提供 root 访问权限。在这种情况下，无论密码如何都无关紧要。但是，如果他们通过您的网站博客（例如）获得对 PHP 的访问权限，他们可能没有太多办法来真正破解您的整个系统。使用 PHP，他们已经可以访问您的 PHP 文件，读取您的数据库密码（如果您清楚地知道密码，这是许多 PHP 前端的情况 - 我不会引用哪些密码，但是是的......），然后访问该数据库中的所有数据。这将包括您的用户电子邮件地址和加密密码。即使在 Virtualbox 或 Docker 情况下这也是一个问题，但至少主计算机是 99.999% 安全的。