История изменений

помнишь/непомнишь пользователя это совершенно другое.
захожу я на машину не только что бы покопаться в файлах но и в том числе чтобы производить некоторые действия с системой, поправить конфиги, запустить остановить демоны и т.д.
и это нормально.
это не техническое обслуживание системы.
это полноценная работа с системой. это рабочая система.
у меня под столом стоит отдельный компутер на котором крутится куча разных сервисов, в том числе и файлопомойка.
я на него захожу и чтобы файлики подвигать ну к примеру, хард-линками перекинуть аудиокниги из торрент-хранилища в каталоги синхронизации с телефоном и подобное.
а также чтобы изменить конфиги системы. к примеру нарисовать скрипт бекапа с исключением лишних директорий. запускаешь sudo nano /etc/systemd/system/backup1.service а под обычным пользователем смотришь что в системе надо, а что не надо бекапить в данном варианте и т.д.

с параноями надо обращаться в соответствующие заведения, а не в серверной играться.
сильно советую почитать «Ананке» из серии рассказов о пилоте Пирксе.
Станислав Лем еще 50 лет назад писал о воздействии человеческих косяков на машины :)

корневой раздел с системой надо использовать только из неизменяемого источника как минимум образ sqaushfs, а лучше носитель с аппаратным переключателем допуска записи на передней панели.
обновлять только полной заменой всего образа.
какие еще предложения будут ??

учти применение и использование систем управления весьма разнообразно и не однобоко заточено на параноидальную секретность как твоем случае :)

помнишь/непомнишь пользователя это совершенно другое.
захожу я на машину не только что бы покопаться в файлах но и в том числе чтобы производить некоторые действия с системой, поправить конфиги, запустить остановить демоны и т.д.
это не техническое обслуживание системы. это полноценная работа с сиетмой. у меня под столом стоит отдельный компутер на котором крутится куча разных сервисов, в том числе и файлопомойка.
я на него захожу и чтобы файлики подвигать ну к примеру, хард-линками перекинуть аудиокниги из торент-хранилища в каталоги синхронизации с телефоном и подобное.
а также чтобы изменить конфиги системы. к примеру нарисовать скрипт бекапа с исключением лишних директорий. запускаешь sudo nano /etc/systemd/system/backup1.service и под обычным ползователем смотришь что в системе надо а что не надо бекапить в данном варианте и т.д.

с параноями надо обращаться в соответствующие заведения, а не в серверной играться.
сильно советую почитать «Ананке» из серии рассказов о пилоте Пирксе.
Лем еще 50 лет назад писал о воздействии человеческих косяков на машины :)

корневой раздел с системой надо использовать только из неизменяемого источника как минимум образ sqaushfs, а лучше носитель с аппаратным переключателем на передней панели.
обновлять только полной заменой всего образа.
какие еще предложения будут ??

учти применение и использование системы управления весьма разнообразно и не однобоко заточено на параноидальную секретность как твоем случае :)