Giải thích về gật đầu và nosuid trong fstab

Tôi thấy hai tùy chọn đó liên tục được đề xuất trên web khi ai đó mô tả cách gắn tmpfs hoặc ramfs. Thường cũng với noexec nhưng tôi đặc biệt quan tâm đến gật đầu và nosuid. Tôi về cơ bản ghét chỉ lặp đi lặp lại một cách mù quáng những gì ai đó đề nghị, mà không có sự hiểu biết thực sự. Và vì tôi chỉ thấy hướng dẫn sao chép / dán trên mạng về vấn đề này, tôi hỏi ở đây.

Đây là từ tài liệu:
gật đầu - Không diễn giải chặn các thiết bị đặc biệt trên hệ thống tập tin.
nosuid - Chặn hoạt động của các bit suid và sgid.

Nhưng tôi muốn một lời giải thích thực tế những gì có thể xảy ra nếu tôi bỏ hai thứ đó ra. Giả sử tôi đã cấu hình tmpfs hoặc ramfs (không có hai tùy chọn được đề cập này) có thể truy cập (đọc + ghi) bởi một người dùng cụ thể (không phải root) trên hệ thống. Người dùng đó có thể làm gì để gây hại cho hệ thống? Không bao gồm trường hợp tiêu thụ tất cả bộ nhớ hệ thống có sẵn trong trường hợp ramfs

Bạn không cần phải tuân theo điều này một cách mù quáng như một quy tắc cứng. Nhưng lý do cho các tình huống tập trung vào bảo mật hơn là như sau.

• Tùy chọn mount gật đầu xác định rằng hệ thống tập tin không thể chứa các thiết bị đặc biệt: Đây là một biện pháp phòng ngừa bảo mật. Bạn không muốn một hệ thống tập tin có thể truy cập trên thế giới của người dùng như thế này có tiềm năng tạo ra các thiết bị nhân vật hoặc truy cập vào phần cứng thiết bị ngẫu nhiên.

• Tùy chọn gắn kết nosuid chỉ định rằng hệ thống tệp không thể chứa các tệp userid. Ngăn chặn các nhị phân setuid trên một hệ thống tập tin có thể ghi trên thế giới có ý nghĩa bởi vì có nguy cơ leo thang gốc hoặc sự khủng khiếp khác ở đó.

Đối với những gì đáng giá, tôi không sử dụng các tham số này thường xuyên ... chỉ trên các hệ thống đối mặt công khai, nơi có những cân nhắc tuân thủ khác.