Мандатный контроль доступа

Мандатный контроль доступа (MAC) — модель разграничения доступа, при которой разрешение операции определяется обязательной системной политикой. В зависимости от реализации она использует метки безопасности, домены, профили и другие атрибуты субъектов и объектов. Пользователь или владелец объекта не может произвольно ослабить ограничения, установленные политикой. Политика может ограничивать чтение, запись, выполнение, межпроцессное взаимодействие, сетевые операции и иные действия даже при наличии разрешений владельца. Для работы необходим механизм принудительного применения политики; в Linux он обычно реализуется через подсистему LSM ядра. Ошибки политики, профилей или меток способны блокировать штатные процессы. MAC применяют на системах с повышенными требованиями к изоляции служб, разделению доменов безопасности и ограничению последствий компрометации процесса. MAC отличается от дискреционного контроля доступа: DAC основывается на правах, ACL и решениях владельца объекта. MAC обычно действует дополнительно к DAC, а не заменяет его проверку прав доступа.