Структура дерева каталогов

Системные вызовы работают таким образом, что структуры каталогов, создаваемые непривилегированными процессами, обладают метками с неуменьшающейся значимостью. Это означает, что метка файла равнозначна метке его родительского каталога или находится в диапазоне для разделенного каталога, а метка каталога поглощает метку родительского каталога (с учетом того что равнозначные метки поглощают друг друга). Это естественная структура для незащищенных программ.

Однако привилегированные процессы не связаны этим ограничением и могут создавать структуры каталогов с произвольным отношением между метками MAC каталогов. Такие конфигурации могут быть полезны, чтобы ограничить доступ при поиске MAC областью около корня дерева. Например, защита сводки, при которой метка MAC набора объектов данных имеет более высокий уровень, чем отдельная метка любого из объектов, может быть реализована тем, что метка MAC каталога получает более высокий уровень, чем метка любого из его элементов. При этом для доступа к сводке данных незащищенные процессы должны поглощать метку каталога.

Создание структур каталогов с уменьшающимся уровнем меток следует выполнять очень осторожно. Если метка файла не поглощает метку родительского объекта, то непривилегированный процесс не сможет открыть файл для записи.