>> Попробуйте обосновать, зачем бы OpenSMTPD по-умолчанию слушать что-то отличное от localhost, когда не получится, возможно, станет понятно, о чём я.
> Я стараюсь намекнуть на то, что безопасность надо сравнивать при сопоставимых функциях, без этого получается сравнение теплого с мягким, поэтому фраза "Например, благодаря тому, что OpenSMTPD по-умолчанию слушает только локалхост, мы имеем local root, а не remote root" бессмысленна.

Смотря в каком контексте рассматривать.

Если речь об использовании OpenSMTPD как полноценного почтового сервера, то да, знанием о дефолте можно пренебречь, т.к. всё равно придётся заставить его слушать что-то отличное от localhost.

Если речь об OpenSMTPD как о стандартном локальном smtpd в базовой системе OpenBSD, то это имеет смысл, так как на значительном числе конфигураций у нас будет только local root, что не так фатально опасно, как RCE.