Unixで強力なパスワードが必要なのはなぜですか？
SSHサーバー：公開鍵認証のみを許可します。
悪意のあるソフトウェア：私のユーザーとして実行している場合、私のデータとインターネット接続にアクセスできますが、それはすでに十分に悪いものです。はい、suアクセスはそれを悪化させますが、ここでの問題はパスワードの強度ではなく、悪意のあるアプリケーションを信頼していることです。
物理的アクセス：この時点ではsuアクセスは関係ありません。攻撃者は私のハードドライブに物理的にアクセスできるため、攻撃者は好きなように操作できます。
それでは、どのような状況で、タイプミスしやすい強力なパスワードを使用すると役立つでしょうか？
あなたはリスクをかなり明確に理解しているようです。他の人が強力なパスワードを使用することを強くお勧めしているので、機密性の高いサービスを実行している場合は、必ず、強力なパスワードのみを使用してください。
弱いパスワードを使用する場合、あなたが言及しなかったいくつかのリスクが頭に浮かびます：
SSH以外にも、パスワードベースの認証を受け入れている他のサービス（FTPなど）がある可能性があります。これらのサービスの1つが
偶然将来的に有効にするか、システム管理者が一時的にSSHでパスワードベースの認証を有効にします。悪意のあるアプリケーションに関して言及しなかった重要な点があります。
root以外のアカウントへの侵入が発生した場合は、rootアクセスへのアップグレードを防ぐことが非常に重要です。rootパスワードが弱い場合、ブルートフォースを介したオープンな脆弱性が存在する可能性があります。また、Sudo権限を持つ他のアカウントがあるとすると、これらのアカウントにも強力なパスワードが必要です。
悪意のあるアプリケーションがrootアクセスを取得できないようにすることの重要性を忘れないでください。構成の変更のリスクに注意してください。また、あなたと私はあなたの敵と同じ攻撃ベクトルを知らないである可能性が高いです。
複雑さの減少を補うためにパスワードの長さを増やして、入力を容易にすることができる場合があります。タッチタイピストとして、私はあなたの問題に関連して苦労しています。
強力なパスワードは必要ありません。
他の多くの人と同様に、パスワードに関するアドバイスは安全なデフォルトです。これは、通常は良いアドバイスであり、多くの人々（および企業）はリスクを非常によく理解していないためです。疑いがある場合は、注意してください。
リスクを理解しているだけでなく、すでに軽減している場合は、問題ありません。私自身も同じ理由で、自宅のマシンで3文字のパスワードを使用しています。防御するための主な脅威は、猫がキーボードの上を歩き、マシンのロックを解除して、「すべて削除」のキーの組み合わせを何らかの方法で踏むことです。
強力なパスワードを必要とするotherシナリオは多数あります。実際、ほとんどの場合、そうします。そのため、通常は強力なパスワードを使用することをお勧めします。しかし、脅威モデルに関係なく常にあなたがあなたに強いパスワードを持たなければならないとあなたに言っている人はセキュリティを理解していません。
一方で、実際はあなたが知らないということです。強力なパスワードは、多層防御です。あなた（または他の誰か）が、UNIX認証も使用する追加サービスをインストールするとします。 FTPなど。安全なパスワードポリシーがないことを忘れ、不要なローカルユーザーを無効にすることを忘れます。今、あなたは脆弱性を抱えています。
一方、強力なパスワードが不要なすべての条件を述べるよりも、「強力なパスワードが必要」と述べる方が簡単です。何をしているのかがわかっていて、正しく実行している場合は、ログインパスワードを必要としないように設定することができます。その時点で、あなたはそれが価値のあるもののために「あなたは強力なパスワードが必要です」を取る手段も持っています。
問題は「なぜ強力なパスワードを使用しないのか」だと思います。
私の意見では、強力なパスワードは安全なシステムの基盤です。いくつかの保護手段について説明しましたが、他のいくつかの攻撃ベクトルを忘れていました。たとえば、サーバーがWebサーバーであり、コード実行攻撃によって侵害された場合、攻撃者はwww-dataユーザーにのみアクセスできますが、 rootパスワードが弱い場合、攻撃者は簡単に特権を昇格させることができます。または、たとえば、使用しているFTPソフトウェアに脆弱性があり、誰かがそれを悪用すると、簡単にroot権限を取得できるようになります。
攻撃は「悪意のあるソフトウェア」だけからではありません。パッチを適用していない単純なApacheはシステムを危険にさらす可能性があります。
覚えやすい強力なパスワードを設定できることに注意してください。あなたの好みのフレーズを考え、少数の数字と特殊文字で修正してください、そしてそれはすでに十分以上です。例：「テスコストアのシナモンロールが大好き」というフレーズを使用すると、強力なパスワードを取得できます：「1lovecinnamon !!! rolls !!! fromtescostores !!」
攻撃者は、ユーザーアカウントではなく、コンピューター上の制限付きアカウントにアクセスできる可能性があります。たとえば、ユーザー「nobody」または「httpd」などのサービス固有のアカウントとして実行するよりも、システムサービスがある場合があります。攻撃者がそのようなアカウントにアクセスできるが、完全なユーザーアカウントにはアクセスできない方法がよくあります（たとえば、一部のサービスはそのような制限されたユーザーを使用してファイルを実行する可能性があり、攻撃者はファイルをそれらは完全にログインする必要なく実行されます）。これにより、攻撃者はsuなどのコマンドを実行できますが、保護されたファイルにはアクセスできず、パスワードを最後の防御線として残します。
gnome-keyringのようなパスワード/シークレットマネージャーの一般的な展開や、ホームエリアまたはファイルの暗号化スキームでは、暗号化にログインパスワードを使用します。
これらのシナリオでは、弱いパスワードにより、誰かがハードドライブのコンテンツのコピーにアクセスできる場合（バックアップやノートパソコンを無人にした場合など）、秘密のデータを簡単に回復できます。
ネットに接続している場合、または盗まれたり、盗み見られたりしたくないドキュメントがある場合は、強力なパスワードが必要です。オペレーティングシステムが何であるかは関係ありません。
これを証明するには、システムにnetsharkを配置し、許可されていないエントリの試行回数を確認します。