Апщемпто на нормальных старших моделях (с 8 и 16гб рам) там есть полный фарш.Во-первых в отличие от кэжуал девайсов на рынке - у хромбуков исключен сценарий не только руткитов но и любых firmware/UEFI implants (почитайте сабж, и пошевелите волосы на жопе, даже secureboot не везде поможет, особенно с shim).
А хромбуках это зарешано аппаратно (кстати как и в Мак) но + хромая чекает merkle hashtree всего ядра и основных компонент ниже уровня приложений на консистентность (это против любых даже случайных софт-закладок на уровне ядра).
Вместе с Kernel (на котором отдельно ChromeOS и полноценный Android *опционально) идёт
т.н. Termina = это KVM подпиленый секьюрно по схему всей оси.
На этом KVM живут легковесные LXC-контейнеры с гуями, которые интегрируются в оконный менеджер основной ОСь.
Т.е. я пускаю на нем debian, Ubuntu, и все от mc до gimp и sublime3 через snap
В параллели у меня какой нить Instagram-директ (для примера написал что-то, что неюзабельно через веб)
В параллели основные ChromeOS аппки
Но и это ещё не всё. На кнопку power завязан Fido2 аппаратный ключ, которым можно пользоваться как любым Ubikey и т.п.
При учёте что хромбуки ещё никто толком так и не сломал, то по архитектуре это одни из самых удачных девайсов для банкинга, админинга и прочего для широких масс, кто не осилит кастомный hardening обычной железки (что кстати и не всегда возможно без модификации на железе - не просто так тема Google Titan морочилась ).
Ну и на всякий случай в самом Chrome каждая вкладка в своей cgroups, ибо нефиг.
