МКЦ (мандатный контроль целостности) — открытая часть

This content is not available in your language yet.

Tessera интегрируется с МКЦ Astra Linux SE (Biba): X.509-сертификат несёт потолок уровня целостности сессии (расширение pam_cert_max_integrity), эффективная метка сессии = min(потолок_из_серта, МНКЦ_пользователя) покомпонентно.

Что в открытой части

Компонент	Где
SPI `MacBackend` + `StubBackend`	`crates/tessera_core/src/mac/backend.rs`
Политика (`[mac].cert_integrity` = required/optional/ignore; `[mac].runtime` = required/auto/disabled)	`mac/orchestrator.rs`
Алгебра меток (level i8 + categories u64, DER-кодек)	`mac/label.rs`
Audit-события `mac_` / `integrity_` (target `mac.audit`)	`mac/audit.rs`
Конфиг-секция `[mac]`	`config/`

Вся логика принятия решения открыта и аудируема.

Что в коммерческой поставке

Реальное применение меток к ядру (ParsecBackend: libpdp/libparsec FFI), активация на strict-mode (capdb, systemd drop-in, PAMName), защита конфигурации МКЦ-метками и полная интеграционная документация — в составе коммерческого пакета (tessera-enterprise). Контакт — см. LICENSE.commercial.

Поведение открытой сборки

Backend всегда StubBackend (no-op enforcement).
[mac].cert_integrity = "required" или [mac].runtime = "required" — отвергаются на валидации конфига: открытая сборка не имитирует enforcement молча.
optional / ignore / auto / disabled — работают (политика вычисляется, события эмитятся, метка не применяется).

Расширение сертификата

pam_cert_max_integrity, OID 2.25.273824307386008814506455310913083078403, SEQUENCE { level INTEGER (-128..127), categories BIT STRING DEFAULT ''B }, non-critical. Выпуск — см. cert-issuance.md.