Хранение конфигов с паролями (mysqld)

[russian_knight]

Многие форумы, фотогалереи и т.п. хранят пароли для доступа к СУБД mysqld в виде текстовых файлов.
Предположим, по умолчанию в Coppermine Photo Gallery (http://coppermine.sourceforge.net/) у конфига права rw-r--r-- apache:apache. При таком раскладе любой локальный пользователь сможет разглядеть пароль. Если этот пароль окажется паролем root-а, то ещё хуже.

Вопросы:
- Всегда ли к такому конфигу обращается юзер apache? Т.е. можно ли с уверенностью поставить права rw------- apache:apache?
- Для обеспечения наилучшей безопасности, как нужно обращаться с паролями mysql? Выгодно ли использовать для всего пароль root-а или лучше создавать отдельных юзерей для каждого сервися (читай базы данных)? Если вход юзеру разрешён только с localhost, можно ли оставлять его с пустым паролем?

В основном тут меня интересует опыт тех, кто часто администрирует web серваки.

Спасибо за внимание.

[russian_knight]

Позволю себе эдакую наглость и подниму тему...