>> work# cat fchdir.c
> ...
>>         if (fchdir (fd) == -1){
> Я вам верю, что fchdir() работает как написано в man. Но посмотрите
> внимательно:
> fd=open("/");
> chroot("/foo");
> fchroot(fd);

Про fchroot я уже ответил. Он требует root-а.
Защищать fchroot при условии, что root-у возможен, скажем, mknod(2)
не имеет ни малейшего смысла.

>> Где там? И в grsecurity и в securechroot он не разрешен совсем.
> Ну я вот смотрю в список фичей grsecurity и вижу там опцию
> "Deny double-chroots"...

Это я знаю, именно из этого списка я брал основные идеи для securechroot.
http://mail-index.netbsd.org/tech-kern/2011/07/10/msg010913.... (внизу)
Список "фич" легко сравнить.