запретить юзеру читать любые файлы кроме тех что находятся в хомяке и его подкаталогах

Головой думал?

Запуск программы-это загрузка дефолтных иконок из каталога темы,загрузка стиля,загрузка конфигов дополнительных(тогоже питона,или еще чего),загрузка параметров работы с сетью/IO ...и угадай-это все находится НЕ в каталоге юзера...

Под твои требования подходит виртуалка.(каждому юзеру по своей виртуалке).

Также если у тебя не полная паранойя-apparmor,там и выставляй правила.

apparmor, gentoo sandbox

Хватит 750 на директории пользователей и включение их в разные группы. Или 700, если они все в одной группе.

Идиот. Звезду нафлудил, а все равно - идиот.

скрипты и бинарники которые юзер хочет запускать, могут находится только в хомяке и его подкаталогах.

bash? ls? passwd? библиотеки?

Для начала, разберись с тараканами в своей голове, почитай умные книжки по защите информации - в них во всех говорится, что если администратор хочет защитить систему путем запрета запуска отдельных приложений - такого администратора надо уволить.

Ты этого не хочешь. Но вообще такой изврат реализуется через pam_namespace. Либо через любой MAC, достаточно одного правила. В любом случае будет тонна геморроя.

AITap, Eddy_Em, спасибо за ответы по существу.

всем остальным спасибо за флуд.