Capability-basierte Sicherheit und feingranulare Objektautorisierung
Ersetzung ambierter Linux-Rechte und Root-Benutzer durch unfaelschbare mathematische Capability-Tokens fuer jeden IPC-Call, jede Speicherseite und jeden Interrupt.
Beseitigung von Rechteausweitungen durch unfaelschbare Objekt-Capabilities
In einem Capability-Mikrokern liegen Zugriffsrechte im geschuetzten Kernelspeicher. Selbst wenn ein Angreifer Schadcode im Netzwerk-Stack ausfuehrt, kann er keine Rechte fuer die Lenkungsaktoren generieren.
Feingranulare Rechte-Abschwaechung und dynamische Ressourcen-Ruecknahme
Erzeugt ein Dienst einen Worker-Thread, leitet er eine abgeschwaechte Capability ab (z.B. nur lesend). Beim Beenden des Workers entzieht ein Aufruf der Stamm-Capability sofort alle abgeleiteten Rechte.
- Null ambiente Autoritaet: Kein Prozess besitzt standardmaessige Superuser-Rechte.
- Unfaelschbare Capability-Ableitung: Rechte koennen verringert, aber niemals unbefugt erweitert werden.
- Atomare Rechte-Ruecknahme: Sofortige Ressourcen-Freigabe ohne verwaiste Zeiger.
- Hardware-MMU/MPU-Seitentabellen werden direkt aus formal verifizierten Capability-Baeumen abgeleitet.
Domain-Portfolio entdecken