> Проблемки только вот в чем:
> 1) Вариантов монтирования разделов - туева хуча. Писать полновесный парсер который осознает
> как и где монтируется желаемый путь и его правильный и однозначный
> ремоунт - не сильно тривиально.

Посмотреть в /proc/mounts (или список разделов внутри ядра) и перемонтировать для записи раздел, путь до точки монтирования которого является наиболее длинной частью пути до интересного файла - это разве нетривиально?

> 2) Это утяжелит троян и потенциально повысит его паливность.

Не утяжелит и не повысит.

> 3) Это лишь один из over 9000 фокусов которые может отколоть админ.
> Вероятность что админ отколет именно этот фокус а не 9000 иных
> - очень небольшая.

На практике никто никаких фокусов не откалывает. Особенно таких, которые могут стать нетривиальной помехой для взломщика, но не для системных задач (обновление ПО на read-only разделе - пример такой задачи).

> 4) А что если админ оказался чуть более козел и допустим squashfs
> юзанул? Если уж ему хотелось глухое readonly - это можно. А
> теперь попробуйте заремаунтить... :)

Админ может оказаться ещё более хитрым перцем и выдернуть из розетки кабель питания сервера. Много лично вы настроили или хотя бы видели Debian-серверов с / на read-only разделе? Риторический вопрос.