Міндетті кіру бақылауы: Қауіпсіздік атрибуттары мен саясаттар негізінде қол жеткізуді шектеу
Mandatory access control
Міндетті кіру бақылауы (MAC) – жүйе қауіпсіздігіндегі маңызды технология. Ол операциялық жүйелерде файлдарға, деректерге кіруді реттейді, қауіпсіздік атрибуттарын тексеріп, рұқсат береді.
Ағылшыншамен салыстырыңыз: абзацты басыңыз — түпнұсқа терезеде ашылады. Абзац астындағы EN түймесі оны мәтін ішінде көрсетеді.
Мазмұны
Кіріспе
Кіруді бақылау түрі
Type of access control
Компьютерлік қауіпсіздікте міндетті кіруді бақылау (MAC) – субъектінің немесе бастамашының объектіге немесе мақсатқа кіру немесе қандай да бір операцияны орындау мүмкіндігін операциялық жүйе немесе деректер қоры шектейтін кіруді бақылау түрі. Операциялық жүйелерде субъект әдетте процесс немесе жіп болып табылады; объектілер – файлдар, каталогтар, TCP/UDP порттары, ортақ жад сегменттері, IO құрылғылары сияқты құрылымдар. Субъектілер мен объектілердің әрқайсысының қауіпсіздік атрибуттары болады. Субъект объектіге кіруге тырысқанда, операциялық жүйе ядросы орындайтын авторизация ережесі осы қауіпсіздік атрибуттарын қарастырып, кіруге рұқсат беруге болады ма, жоқ па, анықтайды. Кез келген субъектінің кез келген объектіге қатысты кез келген операциясы рұқсаттар жиынтығына (яғни саясатқа) сәйкес тексеріледі, операцияға рұқсат берілгені анықталады. Деректерді басқару жүйесі өзінің кіруді бақылау механизмі арқылы да міндетті кіруді бақылауды қолдана алады; мұндай жағдайда объектілер кестелер, көріністер, процедуралар және т.б. болып табылады. Міндетті кіруді бақылауда қауіпсіздік саясатын қауіпсіздік саясатын басқарушы орталықтан басқарады; пайдаланушылар саясатты өзгерте алмайды және, мысалы, басқа жағдайда шектелетін файлдарға кіруге рұқсат бере алмайды. Керісінше, дискрециялық кіруді бақылау (DAC), субъектінің объектілерге кіру мүмкіндігін де реттейді, пайдаланушыларға саясат бойынша шешімдер қабылдауға және/немесе қауіпсіздік атрибуттарын тағайындауға мүмкіндік береді. (Пайдаланушылар, топтар және оқу-жазу-орындау рұқсаттарынан тұратын дәстүрлі Unix жүйесі DAC мысалы болып табылады.) MAC қолдауы бар жүйелер саясат әкімшілеріне ұйымдық қауіпсіздік саясатын іске асыруға мүмкіндік береді. MAC-те (DAC-тен айырмашылығы) пайдаланушылар бұл саясатты кездейсоқ немесе қасақана өзгерте алмайды. Бұл қауіпсіздік әкімшілеріне барлық пайдаланушылар үшін (принцип бойынша) орындалуы кепілдендірілген орталық саясатты анықтауға мүмкіндік береді. Тарихи және дәстүрлі түрде MAC көп деңгейлі қауіпсіздік (MLS) және арнайы әскери жүйелермен тығыз байланысты. Осы контексте MAC MLS жүйелерінің талаптарын қанағаттандыру үшін жоғары дәрежеде қатаңдық білдіреді. Алайда, MAC соңғы уақытта MLS саласынан шығып, кең таралды. MAC-тің SELinux және AppArmor (Linux үшін) және Windows үшін Міндетті Тұтастық Бақылауы сияқты жаңа нұсқалары әкімшілерге MLS-тің қатаңдығы мен шектеулерісіз желілік шабуылдар мен зиянды бағдарламаларға назар аударуға мүмкіндік береді.
In computer security, mandatory access control (MAC) refers to a type of access control by which the operating system or database constrains the ability of a subject or initiator to access or generally perform some sort of operation on an object or target. In the case of operating systems, a subject is usually a process or thread; objects are constructs such as files, directories, TCP/UDP ports, shared memory segments, IO devices, etc. Subjects and objects each have a set of security attributes. Whenever a subject attempts to access an object, an authorization rule enforced by the operating system kernel examines these security attributes and decides whether the access can take place. Any operation by any subject on any object is tested against the set of authorization rules (aka policy) to determine if the operation is allowed. A database management system, in its access control mechanism, can also apply mandatory access control; in this case, the objects are tables, views, procedures, etc. With mandatory access control, this security policy is centrally controlled by a security policy administrator; users do not have the ability to override the policy and, for example, grant access to files that would otherwise be restricted. By contrast, discretionary access control (DAC), which also governs the ability of subjects to access objects, allows users the ability to make policy decisions and/or assign security attributes. (The traditional Unix system of users, groups, and read write execute permissions is an example of DAC.) MAC enabled systems allow policy administrators to implement organization wide security policies. Under MAC (and unlike DAC), users cannot override or modify this policy, either accidentally or intentionally. This allows security administrators to define a central policy that is guaranteed (in principle) to be enforced for all users. Historically and traditionally, MAC has been closely associated with multilevel security (MLS) and specialized military systems. In this context, MAC implies a high degree of rigor to satisfy the constraints of MLS systems. More recently, however, MAC has deviated out of the MLS niche and has started to become more mainstream. The more recent MAC implementations, such as SELinux and AppArmor for Linux and Mandatory Integrity Control for Windows, allow administrators to focus on issues such as network attacks and malware without the rigor or constraints of MLS.
Тарихи негіз және көп деңгейлі қауіпсіздікке әсері
Тарихи тұрғыдан алғанда, MAC АҚШ-тың құпия ақпаратты қорғау құралы ретінде көп деңгейлі қауіпсіздікпен (MLS) тығыз байланысты болды. Сенімді компьютерлік жүйелерді бағалау критерийлері (TCSEC), бұл тақырыптағы маңызды еңбек және көбінесе «Қызғылт кітап» деп аталатын, MAC-тің бастапқы анықтамасын «объектілердегі ақпараттың құпиялылығына (белгі арқылы көрсетілген) және субъектілердің осындай құпиялылығы бар ақпаратқа қол жеткізуге берілген ресми өкілеттігіне (яғни, қауіпсіздік деңгейіне) негізделген объектілерге қол жеткізуді шектеу құралы» ретінде берді. MAC-тің алғашқы іске асырылымдары, мысалы, Honeywell-дің SCOMP, USAF SACDIN, NSA Blacker және Boeing-тің MLS LAN, әскери мақсаттағы қауіпсіздік жіктелу деңгейлерін қатты күшпен сақтау арқылы қорғауға бағытталған MLS-ті пайдаланды. MAC-тегі «міндетті» термині әскери жүйелерде қолданылуынан туындаған ерекше мағынаға ие. Осы контексте MAC бақылау механизмдерінің кез келген түрдегі бұзушылыққа қарсы тұра алатынын қамтамасыз ететін өте жоғары сенімділікті білдіреді, соның арқасында үкіметтік бұйрықтармен, мысалы, АҚШ құпия ақпараттарына қатысты 12958-ші атқарушы бұйрықпен бекітілген қол жеткізуді бақылауды күшпен жүзеге асыруға мүмкіндік береді. Бұл коммерциялық қолданымдарға қарағанда күштірек міндеттеме болып табылады. Бұл жақсы ниетпен жасалған механизмдер арқылы орындалуға мүмкіндік бермейді; MAC үшін тек мандатты абсолютті немесе дерлік абсолютті түрде орындауға қабілетті механизмдер ғана қабылданады. Бұл қиын міндет, және жоғары сенімділік стратегияларымен таныс емес адамдар үшін кейде шындыққа сай емес деп есептеледі, ал таныс адамдар үшін өте қиын.
Historically, MAC was strongly associated with multilevel security (MLS) as a means of protecting US classified information. The Trusted Computer System Evaluation Criteria (TCSEC), the seminal work on the subject and often known as the Orange Book, provided the original definition of MAC as "a means of restricting access to objects based on the sensitivity (as represented by a label) of the information contained in the objects and the formal authorization (i. e., clearance) of subjects to access information of such sensitivity". Early implementations of MAC such as Honeywell's SCOMP, USAF SACDIN, NSA Blacker, and Boeing's MLS LAN focused on MLS to protect military oriented security classification levels with robust enforcement. The term mandatory in MAC has acquired a special meaning derived from its use with military systems. In this context, MAC implies an extremely high degree of robustness that assures that the control mechanisms can resist any type of subversion, thereby enabling them to enforce access controls that are mandated by order of a government such as the Executive Order 12958 for US classified information. Enforcement is supposed to be more imperative than for commercial applications. This precludes enforcement by best effort mechanisms; only mechanisms that can provide absolute or near absolute enforcement of the mandate are acceptable for MAC. This is a tall order and sometimes assumed unrealistic by those unfamiliar with high assurance strategies, and very difficult for those who are.
Степендері
Кейбір жүйелерде пайдаланушылар басқа пайдаланушыларға қол жеткізуге рұқсат беру туралы шешім қабылдау құқығына ие. Мұны іске асыру үшін барлық пайдаланушылардың барлық деректерге қол жеткізуге рұқсаты болуы керек. Бірақ бұл MLS жүйесіне қатысты міндетті емес. Егер жүйелік ортадағы кез келген деректерге қол жеткізуден бас тарту мүмкіндігі бар жеке тұлғалар немесе процестер болса, онда жүйе MAC-ті күшімен орындауға сенімді болуы тиіс. Деректер жіктелуінің және пайдаланушылардың рұқсаттарының әртүрлі деңгейлері болғандықтан, бұл сенімділіктің сандық шкаласын білдіреді. Мысалы, жоғары құпиялы ақпарат пен рұқсаты жоқ пайдаланушылар бар жүйелік орта, құпиялы ақпарат пен кемінде құпия деңгейінде рұқсаты бар пайдаланушылар бар ортаға қарағанда, жоғары сенімділік деңгейін қажет етеді. Тұтастықты арттыру және сенімділік деңгейіндегі субъективтілікті жою мақсатында, осы тақырып бойынша кең ауқымды ғылыми талдау және тәуекелдерді бағалау жүргізілді. Осының нәтижесінде жүйелердің қауіпсіздік деңгейін бағалайтын және оларды әртүрлі қауіпсіздік орталары үшін қажетті сенім деңгейлерімен сәйкестендіретін маңызды стандарт әзірленді. Осының нәтижесі CSC STD 004 85 құжатында жазылған. Сенімділікті бағалаудың екі салыстырмалы түрде тәуелсіз компоненті анықталды: сенімділік деңгейі және функционалдық мүмкіндіктер. Екеуі де осы критерийлерге негізделген сертификацияға жоғары деңгейде сенімділік беру үшін жеткілікті дәлдікпен сипатталған.
In some systems, users have the authority to decide whether to grant access to any other user. To allow that, all users have clearances for all data. This is not necessarily true of an MLS system. If individuals or processes exist that may be denied access to any of the data in the system environment, then the system must be trusted to enforce MAC. Since there can be various levels of data classification and user clearances, this implies a quantified scale for robustness. For example, more robustness is indicated for system environments containing classified Top Secret information and uncleared users than for one with Secret information and users cleared to at least Confidential. To promote consistency and eliminate subjectivity in degrees of robustness, an extensive scientific analysis and risk assessment of the topic produced a landmark benchmark standardization quantifying security robustness capabilities of systems and mapping them to the degrees of trust warranted for various security environments. The result was documented in CSC STD 004 85. Two relatively independent components of robustness were defined: Assurance Level and Functionality. Both were specified with a degree of precision that warranted significant confidence in certifications based on these criteria.
Бағалау
Жалпы критерийлер осы ғылымға негізделген және оның мақсаты – EAL деңгейлері түріндегі сенімділік деңгейін және қорғаныс профильдері түріндегі функционалдық сипаттамаларды сақтау. Объективті сенімділік өлшемдерінің осы екі маңызды компонентінің ішінде тек EAL деңгейлері адал сақталды. Бір жағдайда, TCSEC C2 деңгейі (MAC мүмкіндігі жоқ санаты) Қалыпты критерийлерде Бақыланатын кіруді қорғау профилі (CAPP) ретінде жеткілікті дәл сақталды. Көп деңгейлі қауіпсіздік (MLS) қорғау профильдері (мысалы, B2-ге ұқсас MLSOSPP) B2-ге қарағанда көбірек жалпылама. Олар MLS талаптарына сәйкес келеді, бірақ Orange Book-тің бұрынғы нұсқаларындағы егжей-тегжейлі іске асыру талаптарынан айырылып, мақсаттарға көбірек назар аударады. Бұл сертификаттаушыларға бағаланатын өнімнің техникалық мүмкіндіктері мақсатқа жеткілікті дәрежеде жете ме деп шешуде көбірек субъективті икемділік береді, бұл бағаланатын өнімдердің тұрақтылығын төмендетуі және сенімсіз өнімдерге сертификат алуды жеңілдетуі мүмкін. Осы себептерге байланысты, қорғаныс профилінің техникалық егжей-тегжейлері өнімнің қолайлылығын анықтауда маңызды рөл атқарады. Мұндай архитектура белгілі бір жіктеме немесе сенім деңгейіндегі аутентификацияланған пайдаланушының немесе процестің басқа деңгейдегі ақпаратқа, процестерге немесе құрылғыларға қол жеткізуіне кедергі келтіреді. Бұл белгілі де, белгісіз пайдаланушылар мен процестерді шектеу механизмін қамтамасыз етеді (мысалы, белгісіз бағдарлама сенімсіз қосымшаны құрауы мүмкін, онда жүйе құрылғылар мен файлдарға қол жеткізуді бақылауға және/немесе реттеуге тиіс).
The Common Criteria is based on this science and it intended to preserve the Assurance Level as EAL levels and the functionality specifications as Protection Profiles. Of these two essential components of objective robustness benchmarks, only EAL levels were faithfully preserved. In one case, TCSEC level C2 (not a MAC capable category) was fairly faithfully preserved in the Common Criteria, as the Controlled Access Protection Profile (CAPP). Multilevel security (MLS) Protection Profiles (such as MLSOSPP similar to B2) is more general than B2. They are pursuant to MLS, but lack the detailed implementation requirements of their Orange Book predecessors, focusing more on objectives. This gives certifiers more subjective flexibility in deciding whether the evaluated product’s technical features adequately achieve the objective, potentially eroding consistency of evaluated products and making it easier to attain certification for less trustworthy products. For these reasons, the importance of the technical details of the Protection Profile is critical to determining the suitability of a product. Such an architecture prevents an authenticated user or process at a specific classification or trust level from accessing information, processes, or devices in a different level. This provides a containment mechanism of users and processes, both known and unknown (an unknown program (for example) might comprise an untrusted application where the system should monitor and/or control accesses to devices and files).
Қолданылу
Бірнеше MAC іске асырылымдары, мысалы Unisys-тің Blacker жобасы, өткен мыңжылдықтың соңында Top Secret-ті Unclassified-тен бөлуге жеткілікті сенімді болып сертификатталды. Олардың негізгі технологиясы ескірген және жаңартылмады. Бүгінде TCSEC бойынша осындай сенімді іске асыру деңгейіне сертификатталған қолданыстағы іске асырулар жоқ. Дегенмен, кейбір азырақ сенімді өнімдер бар. Amon Ott-тың RSBAC (Rule Set Based Access Control) бірнеше түрлі қауіпсіздік саясаты / шешім модульдерін қолдайтын Linux ядролары үшін база ұсынады. Іске асырылған модельдердің бірі – міндетті кіруді бақылау моделі. RSBAC жобасының басты мақсаты (ескірген) Orange Book (TCSEC) B1 деңгейіне жетуге талпыну болды. RSBAC-те қолданылатын міндетті кіруді бақылау моделі Unix System V/MLS нұсқасы 1.2.1-мен (1989 жылы АҚШ Ұлттық компьютерлік қауіпсіздік орталығы B1/TCSEC жіктемесімен әзірленген) көбінесе бірдей. RSBAC-ке жоба иесі жақсы күтіп-ұстайтын негізгі ядроға жаңартулар жиынтығы қажет. TOMOYO Linux – NTT Data Corporation әзірлеген Linux және Embedded Linux үшін жеңіл MAC іске асырылымы. Ол 2009 жылдың маусым айында Linux Kernel негізгі нұсқасының 2.6.30 нұсқасына қосылды. SELinux қолданған белгіге негізделген тәсілден өзгеше, TOMOYO Linux жүйелік мінез-құлқын сипаттайтын процестерді шақыру тарихына сәйкес қауіпсіздік домендерін бөліп, жол атауына негізделген міндетті кіруді басқарады. Саясат жол атаулары арқылы сипатталады. Қауіпсіздік домені процестерді шақыру тізбегімен анықталады және тізбек түрінде бейнеленеді. 4 режим бар: өшірілген, оқу, рұқсат ету, күш салу. Әкімшілер әр түрлі домендерге әр түрлі режимдерді тағайындай алады. TOMOYO Linux «оқу» режимін енгізді, онда ядрода пайда болған кірулер автоматты түрде талданады және MAC саясатын жасау үшін сақталады: бұл режим саясатты жазудың алғашқы қадамы болуы мүмкін, оны кейінірек оңай бейімдеуге болады. SUSE Linux және Ubuntu 7.10 AppArmor деп аталатын MAC іске асырылымын қосты. AppArmor LSM (Linux Security Modules interface) деп аталатын Linux 2.6 ядросының мүмкіндігін пайдаланады. LSM ядролық код модульдеріне ACL (DAC ACL, кіруді басқару тізімдері) басқаруға мүмкіндік беретін ядролық API ұсынады. AppArmor барлық бағдарламаларды шектеуге қабілетті емес және 2.6.36 нұсқасынан бастап Linux ядросында қосымша опция ретінде қолжетімді. Linux және көптеген басқа Unix дистрибутивтерінде CPU (көп сақиналы), диск және жад үшін MAC бар; OS бағдарламалық жасақтамасы артықшылықтарды жақсы басқара алмайды, бірақ Linux 1990-шы жылдары Unix емес баламаларға қарағанда қауіпсіз және тұрақты болғандығымен танымал. Linux дистрибьюторлары MAC-ті кейбір құрылғылар үшін ең жақсы DAC-ке ауыстырады, бірақ бұл бүгінгі таңда қол жетімді кез-келген тұтынушы электроникасы үшін де дұрыс. Android 5.0 нұсқасынан бастап SELinux-ты өзінің бастапқы UID негізделген DAC тәсілімен қатар MAC қауіпсіздік моделін күшейту үшін пайдаланады. grsecurity – Linux ядросы үшін MAC іске асырылымын қамтамасыз ететін жаңарту (нақтырақ айтқанда, RBAC іске асырылымы). grsecurity LSM API арқылы іске асырылмайды. Microsoft Windows Vista және Server 2008 бастап Windows-та міндетті тұтастықты бақылау енгізілді, ол кіру сессиясында орындалатын процестерге тұтастықтың деңгейлерін (IL) қосады. MIC бірдей пайдаланушы тіркелгісімен жұмыс істейтін және сенімділігі төмен болуы мүмкін қосымшаларға рұқсат беру рұқсаттарын шектейді. Бес тұтастық деңгейі анықталды: төмен, орташа, жоғары, жүйе және сенімді орнатушы. Тұрақты пайдаланушы бастаған процестер орташа IL алады; жоғары процестерде жоғары IL болады. Процестер оны пайда еткен процестің тұтастығы деңгейін мұра етеді, бірақ тұтастығы деңгейін процеске қарай жекелейтуге болады: мысалы, IE7 және жүктелген орындалатын файлдар төмен IL-мен орындалады. Windows IL-ге негізделген объектілерге қол жеткізуді, сондай-ақ пайдаланушы интерфейсі артықшылықтарын оқшаулау арқылы терезе хабарламаларының шекарасын анықтайды. Аталған нысандар, соның ішінде файлдар, реестр кілттері немесе басқа процестер мен жиектер, ACL-де оларға қол жеткізуді реттейтін, объектіні пайдалана алатын процестің ең төменгі IL-ін анықтайтын жазуы бар. MIC процесс объектіге жазуы немесе өшіруі тек оның IL-і объектінің IL-іне тең немесе одан жоғары болғанда ғана мүмкін екенін қамтамасыз етеді. Сонымен қатар, жадтағы сезімтал деректерге қол жеткізуді болдырмау үшін процестер жоғары IL-ге ие процестерді оқуға рұқсат беру үшін аша алмайды. FreeBSD TrustedBSD жобасының бөлігі ретінде іске асырылған міндетті кіруді бақылауды қолдайды. Ол FreeBSD 5.0-де енгізілді. FreeBSD 7.2 нұсқасынан бастап MAC қолдауы әдепкі бойынша қосылған. Каркас кеңейтіледі; әртүрлі MAC модульдері Biba және көп деңгейлі қауіпсіздік сияқты саясаттарды іске асырады. Sun-ның Trusted Solaris міндетті және жүйелік түрде күшейтілген кіруді бақылау механизмін (MAC) пайдаланады, онда рұқсаттар мен белгілер қауіпсіздік саясатын күшейту үшін қолданылады. Алайда, белгілерді басқару мүмкіндігі ядроның көп деңгейлі қауіпсіздік режимінде жұмыс істеу күшіне кепілдік бермейді. Белгілерге қол жеткізу және басқару механизмдері ядромен сақталатын қорғалған доменде бұзылудан жеткілікті түрде қорғалмаған. Пайдаланушы іске қосатын қосымшалар сессияда пайдаланушы жұмыс істейтін қауіпсіздік белгісімен біріктіріледі. Ақпаратқа, бағдарламаларға және құрылғыларға кіру әлсіз бақыланады. Apple-дің Mac OS X MAC каркасы TrustedBSD MAC каркасын іске асыру болып табылады. Командалық жол функциясы sandbox init шектеулі жоғары деңгейлі оқшаулау интерфейсін ұсынады. Құжаттаманы қараңыз: sandbox init нұсқаулық беті. Ресей армиясы үшін әзірленген Astra Linux OS өзінің міндетті кіруді бақылауына ие. Smack (Simplified Mandatory Access Control Kernel) – Linux ядросының қауіпсіздік модулі, ол деректерді және процестердің өзара әрекеттесуін қасақана манипуляциялардан қорғайды, сонымен қатар қарапайымдылықты басты дизайн мақсаты ретінде пайдаланады. Ол Linux 2.6.25 нұсқасынан бастап ресми түрде қосылды.
A few MAC implementations, such as Unisys' Blacker project, were certified robust enough to separate Top Secret from Unclassified late in the last millennium. Their underlying technology became obsolete and they were not refreshed. Today there are no current implementations certified by TCSEC to that level of robust implementation. However, some less robust products exist. Amon Ott's RSBAC (Rule Set Based Access Control) provides a framework for Linux kernels that allows several different security policy / decision modules. One of the models implemented is Mandatory Access Control model. A general goal of RSBAC design was to try to reach (obsolete) Orange Book (TCSEC) B1 level. The model of mandatory access control used in RSBAC is mostly the same as in Unix System V/MLS, Version 1.2.1 (developed in 1989 by the National Computer Security Center of the USA with classification B1/TCSEC). RSBAC requires a set of patches to the stock kernel, which are maintained quite well by the project owner. TOMOYO Linux is a lightweight MAC implementation for Linux and Embedded Linux, developed by NTT Data Corporation. It has been merged in Linux Kernel mainline version 2.6.30 in June 2009. Differently from the label based approach used by SELinux, TOMOYO Linux performs a pathname based Mandatory Access Control, separating security domains according to process invocation history, which describes the system behavior. Policy are described in terms of pathnames. A security domain is simply defined by a process call chain, and represented by a string. There are 4 modes: disabled, learning, permissive, enforcing. Administrators can assign different modes for different domains. TOMOYO Linux introduced the "learning" mode, in which the accesses occurred in the kernel are automatically analyzed and stored to generate MAC policy: this mode could then be the first step of policy writing, making it easy to customize later. SUSE Linux and Ubuntu 7.10 have added a MAC implementation called AppArmor. AppArmor utilizes a Linux 2.6 kernel feature called LSM (Linux Security Modules interface). LSM provides a kernel API that allows modules of kernel code to govern ACL (DAC ACL, access control lists). AppArmor is not capable of restricting all programs and is optionally in the Linux kernel as of version 2.6.36. Linux and many other Unix distributions have MAC for CPU (multi ring), disk, and memory; while OS software may not manage privileges well, Linux became famous during the 1990s as being more secure and far more stable than non Unix alternatives. Linux distributors disable MAC to being at best DAC for some devices – although this is true for any consumer electronics available today. Android since its 5.0 release has used SELinux to enforce a MAC security model on top of its original UID based DAC approach. grsecurity is a patch for the Linux kernel providing a MAC implementation (precisely, it is an RBAC implementation). grsecurity is not implemented via the LSM API. Microsoft Starting with Windows Vista and Server 2008 Windows incorporates Mandatory Integrity Control, which adds Integrity Levels (IL) to processes running in a login session. MIC restricts the access permissions of applications that are running under the same user account and which may be less trustworthy. Five integrity levels are defined: Low, Medium, High, System, and Trusted Installer. Processes started by a regular user gain a Medium IL; elevated processes have High IL. While processes inherit the integrity level of the process that spawned it, the integrity level can be customized on a per process basis: e. g. IE7 and downloaded executables run with Low IL. Windows controls access to objects based on ILs, as well as for defining the boundary for window messages via User Interface Privilege Isolation. Named objects, including files, registry keys or other processes and threads, have an entry in the ACL governing access to them that defines the minimum IL of the process that can use the object. MIC enforces that a process can write to or delete an object only when its IL is equal to or higher than the object’s IL. Furthermore, to prevent access to sensitive data in memory, processes can’t open processes with a higher IL for read access. FreeBSD supports Mandatory Access Control, implemented as part of the TrustedBSD project. It was introduced in FreeBSD 5.0. Since FreeBSD 7.2, MAC support is enabled by default. The framework is extensible; various MAC modules implement policies such as Biba and multilevel security. Sun's Trusted Solaris uses a mandatory and system enforced access control mechanism (MAC), where clearances and labels are used to enforce a security policy. However note that the capability to manage labels does not imply the kernel strength to operate in multilevel security mode. Access to the labels and control mechanisms are not robustly protected from corruption in protected domain maintained by a kernel. The applications a user runs are combined with the security label at which the user works in the session. Access to information, programs and devices are only weakly controlled. Apple's Mac OS X MAC framework is an implementation of the TrustedBSD MAC framework. A limited high level sandboxing interface is provided by the command line function sandbox init. See the sandbox init manual page for documentation. Astra Linux OS developed for Russian Army has its own mandatory access control. Smack (Simplified Mandatory Access Control Kernel) is a Linux kernel security module that protects data and process interaction from malicious manipulation using a set of custom mandatory access control rules, with simplicity as its main design goal. It has been officially merged since the Linux 2.6.25 release.