Запретить логин без пароля

grep nullok /etc/pam.d/*
Дальше, наверно, сам догадаешься (man pam_unix).

Не совсем то, т. к. nullok вроде бы запрещает именно пароли нулевой длины, но помогло заменить 'auth sufficient' на 'auth required'.

>> nullok вроде бы запрещает именно пароли нулевой длины

Таки разрешает.

       nullok
           The default action of this module is to not permit the user access
           to a service if their official password is blank. The nullok
           argument overrides this default and allows any user with a blank
           password to access the service.

>Таки разрешает.

Ну да, разрешает конечно. Оговорился. Просто проблема была не в blank passwords, а в том, что имея непустой пароль, можно было залогиниться, не вводя его.

Ох. Я ухитрился прочесть топик по диагонали, извиняюсь :)