Исходное сообщение
"Уязвимость в гипервизоре VMM, развиваемом проектом OpenBSD" Отправлено Аноним, 07-Мрт-20 12:40
Нет времени спорить и что то доказывать. Это сложные вещи. Кратко: Сетевой экран, как в DAC таки и  MAC включал. > К сведению: capabilities - есть типичный DAC. Ибо это дискреционное разграничение доступа на основе атрибутов. Не считать capabilites механизмом DAC - это точно такое же гениальное решение, как и предыдущее. Да я лично capabilites механизмом DAC не считаю! Повторю еще раз сказание мною выше: DAC - да дискретный, как много чего другого. Но DAC дискретный по пользователям, а capabilites дискретный по привилегиям суперпользователя. Это разные вещи по точке их применения!!! DAC применяется последовательно, после Integrity и перед MAC. А capabilites применяются паралельно DAC и MAC, можно считать почти незавтсимо от них. Grsecurity контролирует capabilites в RSBAC и/или в независимой от DAC и MAC реализации изоляции процессов. Перед постройкой мат модели должно быть понимание в какой последовательности по отношению друг к другу применяются разные модели безопасности. Capabilites сработает и при обработки DAC и при обработки MAC, оно работает паралельно им и можно считать независимо.