Firefox под отдельным пользователем - РЕШЕНО

учитывая дырявость FF :)
какой оконный менеджер? если кеды, то них есть такая вещь, как "запустить приложение" в меню "К".
очень похоже на "выполнить" в виндоз, вот только с большими возможностями, такими как выставить приоритет приложения и соответственно выбрать пользователя из под которого работать.
также возможно стоит проверить наличие пользователя в группе для доступа к Х серверу :) но зачем такие ухищрения?

Мнээ, а смысл? Обычный пользователь - и так с _урезанными правами_. Если есть охота дальше накручивать ограничения - ограничивайте конкретного пользователя. Данный трюк не прокатит - в случае обнаружения "дырявостей" в указанных продуктах с эскалацией привелегий никакие урезания не помогут. Или вы чего хотите?
_______________________
From Siberia with Love!

Подобная ошибка случается иногда и при попытке запустить иксовое приложение под рутом из нерутовой сессии. Лечится настройкой иксов и правкой файла ~/.Xauthority при помощи тузлы xauth. Для рута помниццо организовывал нечто подобное, правда давно и не помню как именно. Помниццо долго курил раздел авторизация мануала по иксоргу. Пользователь, из под которого пускается файрфокс должен быть прописан там.
Вторая проблема, которую придеццо решить - организовать доступ файрфокса к вашему профилю файрфокса. Если пользователей несколько - соответсвенно нуно как нить указать какой именно профиль юзать судя по описанию firefox --help это параметр -P. Приложения, позволяющее урезать "усе у усех" одним кликом не видел. Говорят что нечто такое есть в кеде.

Ну, всё в мире относительно. ;-) Однако, вот вышла третья версия, и в первый же день сообщили о возможности исполнения произвольного кода (для протокола: я не использую FF3). А количество и потенциал 0-day вообще покрыто мраком.

Флюксбокс.

Пользователь, под которым ведётся основная работа (помимо лазания в сети), имеет доступ на чтение/запись к важным файлам. Бэкапы бэкапами, но хочется по возможности совсем обойтись без эксцессов. Считайте меня параноиком (или хорошо информированным специалистом).

Да, можно было бы пойти иным путём: ограничить основному пользователю доступ к ценным данным и завести дополнительного пользователя, которому и предоставить доступ. Но и здесь придётся идти по тем же граблям: как этот дополнительный пользователь будет работать с файлами через оконные приложения в иксах? Возвращаемся к той же проблеме, но с другой стороны. Дело здесь не конкретно в FF, проблема возникнет с любой неконсольной программой.

Проще всего, конечно, перезапускать иксы от разных пользователей. Но понятно, что это контрпродуктивно, много каши с таким подходом не сваришь.

Большое спасибо за совет! Порою в этом направлении.

Это как раз не проблема. Профиль будет лежать в домашнем каталоге пользователя, из-под которого должна запускаться программа. То есть основной пользователь машины не будет иметь доступа к FF и его профилю (ибо незачем), а пользователь, из-под которого запускается FF, максимально не будет иметь доступ к остальным частям системы (ибо нефиг).