Mandatory Access Control Вікіпедія
Мандатне управління доступом(англ. Mandatory access control, MAC ) — розмежування доступу суб'єктів до об'єктів, засноване на призначенні мітки конфіденційності для інформації, що міститься в об'єктах, та видачі офіційних дозволів (допуску) суб'єктам на звернення до інформації такого рівня конфіденційності. Також іноді перекладається якПримусовий контроль доступу. Це спосіб, що поєднує захист і обмеження прав, що застосовується до комп'ютерних процесів, даних і системних пристроїв і призначений для запобігання їх небажаному використанню.
Відповідно до вимог ФСТЕК мандатне управління доступом або «мітки доступу» є ключовою відмінністю систем захисту Державної Таємниці України старших класів 1В та 1Б від молодших класів захисних систем на класичному поділі прав на матрицю доступу.
Приклад: суб'єкт «Користувач № 2», який має допуск рівня «не секретно», не може отримати доступ до об'єкта, який має мітку «для службового користування». Водночас суб'єкт «Користувач № 1» з допуском рівня «таємно» має право доступу до об'єкта з міткою «для службового користування».
Зміст
Особливості [ ]
Мандатна модель управління доступом, крім дискреційної та рольової, є основою реалізації розмежувальної політики доступу до ресурсів захисту інформації обмеженого доступу. При цьому дана модель доступу практично не використовується "у чистому вигляді", зазвичай на практиці вона доповнюється елементами інших моделей доступу.
Для файлових систем воно може розширювати або замінювати дискреційний контроль доступу та концепцію користувачів та груп.
Найважливіша перевага полягає в тому, що користувач не можеповністю управляти доступом до ресурсів, що він створює.
Очевидно, що система, яка забезпечує поділ даних та операцій у комп'ютері, має бути побудована таким чином, щоб її не можна було «обійти». Вона також повинна давати можливість оцінювати корисність та ефективність використовуваних правил та бути захищеною від стороннього втручання.
Підтримка у сучасних операційних системах [ ]
Спочатку такий принцип був втілений в операційних системах Flask та інших орієнтованих на безпеку операційних системах.
Дослідницький проект АНБ SELinux додав архітектуру мандатного контролю доступу до ядра Linux, і пізніше був внесений у головну галузь розробки у серпні 2003 року.
Мандатна система розмежування доступу реалізована в ОС FreeBSD Unix.
У SUSE Linux та Ubuntu є архітектура мандатного контролю доступу під назвою AppArmor.
У сертифікованій в системах сертифікації Міноборони Укаїни та ФСТЕК Укаїни операційній системі спеціального призначення Astra Linux Special Edition механізм мандатного розмежування доступу реалізований, як і механізм дискреційного розмежування доступу в ядрі ОС і СУБД. Рішення про заборону або дозвіл доступу суб'єкта до об'єкта приймається на основі типу операції (читання/запис/виконання), мандатного контексту безпеки, пов'язаного з кожним суб'єктом, та мандатної мітки, пов'язаної з об'єктом.
У мережеві пакети протоколу IPv4 відповідно до стандарту RFC1108 впроваджуються мандатні мітки, що відповідають мітці об'єкта - мережне з'єднання. У захищених комплексах гіпертекстової обробки даних, електронної пошти та інших сервісах, мандатне розмежування реалізовано з урахуванням програмного інтерфейсу бібліотек підсистеми безпеки PARSEC.
Підтримка у сучасних системах управління базами даних [ ]
У СУБД ЛІНТЕР [1] мандатний контроль доступу до даних організується лише на рівні таблиць, стовпців записів і окремих полів записів.
У PostgreSQL у версії 9.2 з'явилася початкова підтримка SELinux.