МКЦ (мандатный контроль целостности) — открытая часть

Этот документ очерчивает границу: какая логика МКЦ входит в открытую сборку Tessera, какая — в коммерческий пакет, и где проходит черта между МКЦ (целостность) и МРД (конфиденциальность). Здесь вы найдёте состав открытой части, поведение открытой сборки и правила совместимости с МРД. Реального применения меток к ядру, активации strict-mode и пошаговой интеграции здесь нет — это коммерческая поставка (см. «Что в коммерческой поставке»).

Tessera интегрируется с МКЦ Astra Linux SE (Biba): X.509-сертификат несёт потолок уровня целостности сессии (расширение pam_cert_max_integrity), эффективная метка сессии = min(потолок_из_серта, МНКЦ_пользователя) покомпонентно.

Что в открытой части

Компонент	Где
SPI MacBackend + StubBackend	crates/tessera_core/src/mac/backend.rs
Политика ([mac].cert_integrity = required/optional/ignore; [mac].runtime = required/auto/disabled)	mac/orchestrator.rs
Алгебра меток (level i8 + categories u64, DER-кодек)	mac/label.rs
Audit-события mac_* / integrity_* (target mac.audit)	mac/audit.rs
C ABI, проверка подписи и runtime loader backend-плагинов	plugin/
Конфиг-секция [mac]	config/

Вся логика принятия решения открыта и аудируема.

Что в коммерческой поставке

Реальное применение меток к ядру (подписанный Parsec-плагин: libpdp/libparsec FFI), активация на strict-mode (capdb, systemd drop-in, PAMName), защита конфигурации МКЦ-метками и полная интеграционная документация — в составе коммерческого пакета (tessera-enterprise). Контакт — см. LICENSE.commercial.

Поведение открытой сборки

• Без [mac].backend используется StubBackend (no-op enforcement); файлы из plugin-каталога не активируются автоматически.
• При backend = "parsec" один и тот же открытый host ищет только /usr/lib/tessera/plugins/tessera_backend_parsec.so, проверяет подпись, ABI/kind/name и только затем вызывает dlopen.
• [mac].cert_integrity = "required" или [mac].runtime = "required" требуют явно заданного backend; отсутствие/отказ выбранного плагина приводит к fail-closed, а не к имитации enforcement.
• При runtime = "auto" отсутствие/отказ плагина даёт StubBackend и audit-событие; роль с mac_mask при этом всё равно отклоняется.

Официальная release-сборка вшивает raw Ed25519 public keys из TESSERA_PLUGIN_PUBKEYS (64 hex chars на ключ, через запятую). Detached-файл имеет формат ed25519:<128 hex> над точными байтами .so; release CI запрещает пустой trust store. В конфиге переключателя проверки подписи нет.

Граница МКЦ / МРД

Astra SE несёт два независимых мандатных механизма PARSEC:

• МКЦ (мандатный контроль целостности, Biba) — целостность. Единственная ось, которую Tessera назначает: метка сессии, mac_mask роли, потолок pam_cert_max_integrity.
• МРД (мандатное разграничение доступа, Белла—ЛаПадулы; активно на уровне защищённости «Смоленск») — конфиденциальность. Назначается штатными механизмами ОС. Tessera не назначает, не выбирает и не изменяет уровень конфиденциальности (поле 0 parsec-метки).

Системы с активным МРД не поддерживаются: Tessera работает только с осью целостности и не имеет модели для оси конфиденциальности. Любая запись parsec-метки (сессия, файл, дескриптор) сохраняет существующее поле конфиденциальности цели без изменений — понижение уровня невозможно.

Startup-check mac_mrd_active

Демон детектит активный МРД на старте (и в tessera check). Единый код записи mac_mrd_active; серьёзность зависит от [mac].runtime и состояния probe’а (в открытой сборке probe возвращает Unknown):

[mac].runtime	МРД Active	МРД Unknown	МРД Inactive
required	ERROR — демон не стартует	WARN	INFO
auto	WARN — конфигурация не поддерживается, демон стартует	INFO	INFO
disabled	INFO	INFO	INFO

ERROR подчиняется общему fail-closed-гейту startup-check: демон отказывается стартовать. Режимы auto/disabled — осознанное принятие неподдерживаемой конфигурации.

Расширение сертификата

pam_cert_max_integrity, OID 2.25.273824307386008814506455310913083078403, SEQUENCE { level INTEGER (-128..127), categories BIT STRING DEFAULT ''B }, non-critical. Выпуск — см. cert-issuance.md.