SELinux Security-Enhanced Linux
Control de acceso obligatorio en el núcleo de Linux, desarrollado por la NSA e incorporado en 2003. Cada proceso y cada archivo recibe una etiqueta, y una política decide qué combinaciones se permiten —al margen de lo que digan los permisos del archivo.
La diferencia con los permisos corrientes es que el propietario no puede conceder más de lo que la política permite. Un servidor web comprometido no puede, por tanto, leer /etc/shadow ni siquiera ejecutándose como root, porque la etiqueta httpd_t carece de esa transición. Existen tres modos: enforcing, permissive (registra pero no bloquea) y disabled. El infame consejo de simplemente desactivarlo cuando algo falla tira por la borda una capa de defensa entera; lo correcto es ausearch para averiguar qué se denegó, audit2allow para generar una regla y semanage fcontext para reetiquetar archivos. Por defecto en RHEL y Fedora. AppArmor es la alternativa basada en rutas.