強制訪問控制

強制存取控制（英語：mandatory access control，縮寫MAC）佇咧電腦安全領域指一種由作業系統約束的存取控制，目標是有限制主體抑是發起者存取對物件抑是目標執行某一種操作的能力。咱佇實踐中，主體通常是一个行程抑是執行緒，物件可能是檔案、kha-tá-lok-guh、TCP / UDP 埠頭、共享記持體段、I / O 裝置等。主體和物件各自有一組的安全屬性。做主體試存取物件的時陣，攏會由作業系統核心強制施行授權規則—— 檢查安全屬性並決定敢會當進行存取。任何主體對任何物件的任何的操作攏將根據一組授權規則（嘛講這个策略）進行測試，決定操作敢有允准。佇資料庫管理系統內底嘛存在取控制機制，因為嘛會當應用強制取控制；此環境下，物件為表、視圖、過程等。

通過強制存取控制，安全策略由安全策略管理員集中控制；使用者無權利匼激策略，譬如講袂當予被決而受著限制的檔案授予存取權限。相比來講，自主存取控制（DAC）嘛控制主體存取物件的能力，毋過允准使用者進行策略決策和 / 抑是分配安全屬性。（傳統 Unix 系統的使用者、組和讀-寫-執行就是一種 DAC。）啟用 MAC 的系統允准策略管理員實現組織範圍的安全策略。佇咧 MAC（無仝 DAC）落，使用者袂使崁抑是修改策略，無論為意外抑是故意。這使安全管理員定義的中央策略著以佇原則上保證向所有使用者強制實施。

佇歷史上佮傳統上，MAC 佮偌層安全（MLS）佮專業的軍用系統密切的相關。來遮環境內底，MAC 意味對懸度嚴格以滿足 MLS 系統的約束。但是就最近，MAC 已經對 MLS 本身內底發展出來，而且變甲閣較主流。最近的 MAC 實現有諸如來面向 Linux 的 SELinux 和 AppArmor，以及向面 Windows 的強制完整性控制，𪜶使管理員著愛注意閣無嚴格抑是 MLS 約束的時陣拄著的如網路攻擊抑是惡意軟體等等的問題。

歷史背景佮對多層安全的影響

歷史上，MAC 佮作為保護美國機密資訊的多層安全（MLS）手段密切相關。可信電腦系統評估標準（TCSEC）就是就這主題的開創性做工課，其中將 MAC 定義做「因為物件中包含資訊的敏感性（是由標籤表示）來顯示對物件的存取途徑佮物件存取這種敏感資訊的授權」。 MAC 的早期實現有 Honeywell 的 SCOMP、USAF SACDIN、NSA Blacker，猶閣有的波音 MLS LAN。

術語 MAC 中的「強制性」已經因為其在軍事系統中間的使用會著特殊含義。佇這方面，MAC 意味著足懸的抵抗性，確保控制機制會通抵抗任何類型的破壞，自按呢使𪜶會當執行由政府命令授權的存取控制，諸如面向美國等級資訊的第一石二千九百五十八號行政命令。強制施行的保證性要求愛懸於商業應用，所以這無允准採用「盡力咧為著」的機制。MAC 干焦接受會當絕對抑是差不多絕對地保證任務執行的機制。這點對無熟似保證策略的人來講可能真困難抑是予人假定做無切實際。

系統強度

強度等級

佇咧某一寡系統內底，使用者有權決定敢有向其他任何使用者授予存取權限。為允准這點，所有使用者攏必須愛有所有資料的審查許可。這毋是啦 MLS 系統所需要條件。若個人抑是行程可能予人拒絕存取系統環境中的任何資料，則系統著愛會信以強制執行 MAC。因為可能存在各種級別的資料等級佮使用者許可，這嘛顯示健壯性的量化指標。比如講，一个包含等級做最高機密的資訊佮等級做無批准的使用者的系統佮一个包括等級做絕密的資訊佮等級做秘密的使用者的系統有閣較懸的健壯性。為著維持健壯性量化指標的一致性佮儘可能地消除主觀人為的因素，一項針對該問題的大規模科學分析佮風險的評估提出標誌性的測試標準，用以量化系統的安全健壯性，並且根據會當保證的安全等級做其分級。該結果記錄 CSC-STD 被四配八十五。健壯性的兩个相對獨立的組成部份會當予人定義為保障等級佮功能性，兩者攏會當予闡述為一个系統佇特定標準下會當保證的其審查的精確性。

參考資料

• P . A . Loscocco , S . D . Smalley , P . A . Muckelbauer , R . C . Taylor , S . J . Turner , and J . F . Farrell . _ The Inevitability of Failure : The Flawed Assumption of Security in Modern Computing Environments _ . In Proceedings of the 二十一 st National Information Systems Security Conference , pages 三百空三–三百十四 , Oct . 一千九百九十八 .
• P . A . Loscocco , S . D . Smalley , _ Meeting Critical Security Objectives with Security-Enhanced Linux _ Proceedings of the 兩千空一 Ottawa Linux Symposium .
• ISO / IEC DIS 一孵空一百八十一孵三 , Information Technology , OSI Security Model , Security FrameWorks , Part 三 : Access Control , 一千九百九十三
• Robert N . M . Watson . " A decade of OS access-control extensibility " . Commun . ACM 五十六 , 二 ( February 二千空一十三 ) , 五十二孵六十三 .

外部連結

• 網路部落格（英文）： 有關如何使用虛擬化實現強制存取控制。
• 網路部落格（英文）： 微軟員工詳細描述強制完整性控制猶閣有伊欲按怎佮其他 MAC 實現的差異。
• GWV Formal Security Policy Model A Separation Kernel Formal Security Policy , David Greve , Matthew Wilding , and W . Mark Vanfleet .