> ни в каких, за полной бессмысленностью - именно потому и понадобился _отдельный_
> haredened gentoo, что grsec это не только патч к ведру, это
> еще и патченный компилятор и прочее по мелочи, которыми под это
> ведро пересобрано _все_.

Сложностей при использовании Grsecurity в наши дни - минимум. Что на сервере, что на десктопе. И все они давно документированы. Более того, практически все аспекты настраивается либо на этапе сборки ядра, либо в любое время (PaX-флаги для приложений). Если что-то мешает, это можно не включать или отключить.

Компилятор везде уже давно как не патченный, а стоковый. Ядро собирается им же - что в генте, что в убунте. Пересборка юзерленда - это _опция_ для получения полной рандомизации страниц с кодом самого исполняемого файла (PIE) и защиты GOT/PLT от записи (BIND_NOW), которые работают и на обычных ядрах (есть нюансы, но суть в том, что это уже не экзотика и не специфика Grsecurity). В Hardened Gentoo можно включить дополнительные меры при сборке, вроде SSP и FORTIFY_SOURCE, но к Grsecurity это уже не относится никак.

И в Арче был пакет с grsec-ядром до недавнего времени, и в Alpine оно есть до сих пор (неофициальный порт), и в Subgraph на базе дебиана были и пока что есть (4.9-unofficial_grsec), на сколько я знаю.

Короче говоря, у страха глаза велики. :)