Obligatorisk åtkomstkontroll ( MAC ) - åtkomstkontroll av föremål till objekt , baserad på tilldelningen av en känslighetsetikett för information som finns i objekt, och utfärdande av officiella tillstånd (tillstånd) till försökspersoner att få tillgång till information på denna nivå av konfidentialitet. Även ibland översatt som Enforced Access Control . Detta är en kombination av skydd och begränsning av rättigheter som tillämpas på datorprocesser, data och systemenheter och är utformad för att förhindra oönskad användning av dem.
Enligt kraven i FSTEC är obligatorisk åtkomstkontroll eller "åtkomstetiketter" nyckelskillnaden mellan de statliga hemliga skyddssystemen i Ryska federationen av seniorklasserna 1B och 1B från de lägre klasserna av säkerhetssystem baserade på den klassiska uppdelningen av rättigheter enligt åtkomstmatrisen.
Exempel: Ämnet "Användare #2" med "inte hemlig"-behörighet kan inte komma åt ett objekt markerat "konfidentiellt". Samtidigt har ämnet "Användare nr 1" med åtkomst på "hemlig" nivå åtkomst (i "skrivskyddat"-läge) till objektet med etiketten "konfidentiell användning". För att spara ändringarna måste ämnet "Användare nr 1" spara det redigerade objektet i katalogen med etiketten "hemlig".
Den mandaterade åtkomstkontrollmodellen, förutom diskretionär och rollbaserad , är grunden för att implementera en restriktiv policy för åtkomst till resurser vid skydd av begränsad åtkomstinformation. Samtidigt används denna accessmodell praktiskt taget inte "i sin rena form", vanligtvis kompletteras den i praktiken med inslag av andra accessmodeller.
För filsystem kan den utöka eller ersätta diskretionär åtkomstkontroll och konceptet med användare och grupper.
Den viktigaste fördelen är att användaren inte har full kontroll över tillgången till de resurser han skapar.
Systemsäkerhetspolicyn , som ställts in av administratören, definierar åtkomsten fullständigt, och vanligtvis får en användare inte sätta mer fri åtkomst till sina resurser än den som administratören ställt in för användaren. Diskretionära åtkomstkontrollsystem tillåter användare att helt bestämma tillgängligheten för sina resurser, vilket innebär att de av misstag eller avsiktligt kan ge åtkomst till obehöriga användare. Ett sådant system förbjuder en användare eller process med en viss nivå av förtroende från att komma åt information, processer eller enheter på en säkrare nivå. Detta säkerställer isolering av användare och processer, både kända och okända för systemet (ett okänt program bör vara så opålitligt som möjligt och dess åtkomst till enheter och filer bör vara mer begränsad).
Det är uppenbart att ett system som säkerställer separering av data och verksamhet i en dator måste byggas på ett sådant sätt att det inte går att "förbigå". Det bör också göra det möjligt att bedöma användbarheten och effektiviteten av de regler som används och skyddas från inblandning utifrån.
Ursprungligen förkroppsligades denna princip i operativsystemen Flask och andra säkerhetsorienterade operativsystem .
NSA- forskningsprojektet SELinux lade till en obligatorisk åtkomstkontrollarkitektur till Linuxkärnan och togs senare in i huvudgrenen i augusti 2003.
Obligatoriskt åtkomstkontrollsystem är implementerat i FreeBSD Unix OS.
SUSE Linux och Ubuntu har en obligatorisk åtkomstkontrollarkitektur som heter AppArmor .
I MCVS, Astra Linux Special Edition, Sagittarius och liknande operativsystem certifierade i certifieringssystem från Rysslands försvarsministerium och Rysslands FSTEC , implementeras mekanismen för obligatorisk åtkomstkontroll, liksom mekanismen för diskretionär åtkomstkontroll , i OS-kärnan. Beslutet att neka eller tillåta en subjekts åtkomst till ett objekt fattas baserat på typen av operation (läsa/skriva/köra), kapacitetssäkerhetskontexten som är associerad med varje ämne och kapacitetsetiketten som är associerad med objektet.
I IPv4-nätverkspaket, i enlighet med RFC1108-standarden, är kapacitetsetiketter inbäddade som motsvarar objektets etikett - en nätverksanslutning. I säkra komplex av hypertextdatabehandling, e-post och i andra tjänster i Astra Linux implementeras obligatorisk differentiering baserat på programmeringsgränssnittet för biblioteken i PARSEC-säkerhetsundersystemet. Andra operativsystem använder sina egna säkerhetsundersystemsbibliotek.
I DBMS LINTER [1] är obligatorisk dataåtkomstkontroll organiserad på nivå med tabeller, postkolumner och enskilda postfält.
Oracle Database har ett Oracle Label Security - delsystem ( LBAC , Label-Based Access Control-system )
PostgreSQL 9.2 introducerade initialt stöd för SELinux .