Вообще-то не совсем верно. Пароли можно хранить где только твоя душа пожелает. Как раз для этого и создавалась система PAM (Pluggable Authentication Modules). Благодаря настройке этой системы можно заставить серевер проводить аутентификацию пользвателей самыми различными способами - от обычного или временного пароля до скана сетчатки глаза - стоит только использовать нужный модуль.
Модуль представляет собой обычную .so-библиотеку, написанную по определенным правилам. API для написания тпких библиотек открыто и хорошо документированно. Если есть желание, можно создать свой собственный модуль и хранить пароли хоть в базе MySQL.