Modulenaam: mac_lomac.ko
Kernelinstelling: options MAC_LOMAC
Opstartoptie: mac_lomac_load="YES"
In tegenstelling tot het beleid MAC Biba, staat het beleid mac_lomac(4) toegang tot objecten van lagere integriteit slechts toe nadat het integriteitsniveau is verlaagt om de integriteitsregels niet te verstoren.
De MAC-versie van het
laagwatermarkeringsintegreitsbeleid, niet te verwarren met de
oudere implementatie van lomac(4), werkt bijna hetzelfde als
Biba maar met de uitzondering dat er drijvende labels worden
gebruikt om subjectdegradatie via een hulpcompartiment met graden
te ondersteunen. Dit tweede compartiment heeft de vorm
[hulpgraad]
. Wanneer een lomac-beleid met een
hulpgraad wordt toegekend, dient het er ongeveer uit te zien als:
lomac/10[2]
waar het getal twee (2) de
hulpgraad is.
Het beleid MAC LOMAC berust op het overal
labelen van alle systeemobjecten met integriteitslabels, waardoor
subjecten wordt toegestaan om te lezen van objecten van lage
integriteit en om daarna het label op subject te degraderen om
toekomstig schrijven naar objecten van hoge integriteit te
voorkomen. Dit is de hierboven besproken optie
[hulpgraad]
, dus biedt het beleid grotere
compatibiliteit en vereist het minder initiële configuratie
dan Biba.
Net zoals bij de beleiden Biba en MLS
kunnen de commando's setfmac
en
setpmac
gebruikt worden om labels op
systeemobjecten te plaatsen:
#
setfmac /usr/home/trhodes lomac/high[low]
#
getfmac /usr/home/trhodes
lomac/high[low]Merk op dat de hulpgraad hier low
is, dit
is een mogelijkheid die alleen door het beleid
MAC LOMAC wordt geboden.