При разметке диска установщик использует для ESP стандартный набор опций монтирования FAT-раздела (umask=0,quiet,showexec,iocharset=utf8,codepage=866), который не подходит для ESP, поскольку umask=0 делает раздел world-writable.

Из-за этого bootctl install выдаёт предупреждение:
```
⚠️  Mount point '/boot/efi' which backs the random seed file is world accessible, which is a security hole!  ⚠️
⚠️ Random seed file '/boot/efi/loader/random-seed' is world accessible, which is a security hole! ⚠️
```

Пока это не несёт угрозы безопасности, так как права на /boot ограничены и закрывают доступ к содержимому ESP, но защита держится только на правах родительского каталога и сломается, например, при переходе на рекомендуемую точку монтирования /efi.

Предлагаю для ESP заменить опции на `umask=0077,nosuid,nodev,noexec`. Это делает раздел доступным только root, что убирает предупреждение bootctl, потенциальную утечку random-seed/initrd и возможность модификации файлов загрузчика непривилегированным пользователем.