用户密码是保护网络攻击，还是只保护物理密码？

Question

如果我用一个空密码在Linux系统中创建一个用户，这是否暴露了任何远程漏洞，还是只有当有人获得对机器的物理访问时才会出现问题？

Answer 1

如果我用一个空密码在Linux系统中创建一个用户，这是否暴露了任何远程漏洞，还是只有当有人获得对机器的物理访问时才会出现问题？

它不暴露远程漏洞，它被认为是一个错误配置，它取决于：

1. 你的SSH配置。默认情况下，PermitEmptyPasswords设置为/etc/ssh/sshd_config中的no。
2. 如何配置用户本身。如果允许用户进行shell访问，则可以在/etc/passwd中看到。

假设同时应用1和2，则需要对计算机进行控制台(物理)访问，以便该用户能够登录。

不设置用户密码的原因应该只有一个，那就是配置公钥身份验证时。为了避免任何混淆，用户帐户(uid >= 1000)和服务帐户(uid < 1000)之间存在差异。

Answer 2

如果允许用户通过ssh或ftp进行访问，这肯定是一个问题。