Мандатний управління доступом

Мандатний управління доступом (англ. Mandatory access control, MAC) - розмежування доступу суб'єктів до об'єктів, засноване на призначення мітки конфіденційності для інформації, що міститься в об'єктах, і видачу офіційних дозволів (допуску) суб'єктам на звернення до інформації такого рівня конфіденційності. Також іноді перекладається як Примусовий контроль доступу. Це спосіб, що поєднує захист і обмеження прав, що застосовується по відношенню до комп'ютерних процесам, даними і системних пристроїв і призначений для запобігання їх небажаного використання.

Згідно з вимогами ФСТЕК мандатний управління доступом або «мітки доступу» є ключовою відмінністю систем захисту Державної Таємниці Україна старших класів 1В і 1Б від молодших класів захисних систем на класичному поділі прав по матриці доступу.

Приклад: суб'єкт «Користувач № 2», який має допуск рівня «не таємно», не може отримати доступ до об'єкта, що має мітку «для службового користування». У той же час, суб'єкт «Користувач № 1» з допуском рівня «секретно» право доступу до об'єкта з міткою «для службового користування» має.

Мандатна модель управління доступом, крім дискреційною і рольової. є основою реалізації розмежувальної політики доступу до ресурсів при захисті інформації обмеженого доступу. При цьому дана модель доступу практично не використовується «в чистому вигляді», зазвичай на практиці вона доповнюється елементами інших моделей доступу.

Для файлових систем, воно може розширювати або заміняти дискреційний контроль доступу і концепцію користувачів і груп.

Найважливіше гідність полягає в тому, що користувач не може повністю контролювати доступ до ресурсів, які він створює.

Очевидно, що система, яка забезпечує поділ даних і операцій в комп'ютері, повинна бути побудована таким чином, щоб її не можна було «обійти». Вона також повинна давати можливість оцінювати корисність і ефективність використовуваних правил і бути захищеною від стороннього втручання.

Спочатку такий принцип був втілений в операційних системах Flask. та інших орієнтованих на безпеку операційних системах.

Мандатна система розмежування доступу реалізована в ОС FreeBSD Unix.

У SUSE Linux і Ubuntu є архітектура мандатної контролю доступу під назвою AppArmor.

У сертифікованої в системах сертифікації МіноборониУкаіни і ФСТЕКУкаіни операційній системі спеціального призначення Astra Linux Special Edition, механізм мандатної розмежування доступу реалізований, як і механізм дискреційного розмежування доступу в ядрі ОС і СУБД. Рішення про заборону або дозвіл доступу суб'єкта до об'єкта приймається на основі типу операції (читання / запис / виконання), мандатної контексту безпеки, пов'язаного з кожним суб'єктом, і мандатної мітки, пов'язаної з об'єктом.

У мережеві пакети протоколу IPv4 відповідно до стандарту RFC1108 впроваджуються мандатні мітки, відповідні мітці об'єкта - мережеве з'єднання. У захищених комплексах гіпертекстової обробки даних, електронної пошти і в інших сервісах, мандатний розмежування реалізовано на основі програмного інтерфейсу бібліотек підсистеми безпеки PARSEC.

В СУБД Лінтер [1] мандатний контроль доступу до даних організовується на рівні таблиць, стовпців записів і окремих полів записів.

В Oracle Database є підсистема Oracle Label Security [en] (LBAC [en]. Label-Based Access Control system [en])

У PostgreSQL в версії 9.2 з'явилася початкова підтримка SELinux.