15.13 MAC LOMAC 模块

　　模块名： mac_lomac.ko

　　对应的内核配置： options MAC_LOMAC

　　引导选项： mac_lomac_load="YES"

　　和 MAC Biba 策略不同， mac_lomac(4) 策略只允许在降低了完整性级别之后， 才允许在不破坏完整性规则的前提下访问较低完整性级别的对象。

　　MAC 版本的 Low-watermark 完整性策略不应与较早的 lomac(4) 实现相混淆， 除了使用浮动的标签来支持 subject 通过辅助级别 compartment 降级之外， 其工作方式与 Biba 大体相似。 这一词要的 compartment 以 [auxgrade] 的形式出现。 当指定包含辅助级别的 lomac 策略时， 其形式应类似于： lomac/10[2] 这里数字二 (2) 就是辅助级别。

　　MAC LOMAC 策略依赖于系统对象上存在普适的标签， 这样就允许 subject 来从较低完整性级别的对象读取， 并对 subject 的标签降级， 以防止其在之后写高完整性级别的对象。 这就是前面讨论的 [auxgrade] 选项， 因此这个策略能够提供更大的兼容性， 而所需要的初始配置也要比 Biba 少。

# setfmac /usr/home/trhodes lomac/high[low]
# getfmac /usr/home/trhodes lomac/high[low]