TOMOYO Linux には、マウントに関連する操作を制限する機能があります。 Linux では、システム管理者権限があれば任意のディレクトリに任意のファイルシステムをマウントすることが可能です。つまり、システム管理者権限で動作しているプロセスの制御を奪われた場合、 /bin/ ディレクトリの上に tmpfs を被せて悪意あるプログラムに置き換えられたり、 /var/www/ ディレクトリの上に tmpfs を被せて WWW コンテンツを隠蔽されたりすることがあるわけです。 ケイパビリティを使えばマウントを行なう権限を制限することができますが、権限が与えられさえすれば任意のマウントができてしまい、望ましくありません。 TOMOYO Linux を利用すると、マウントを許可する組合せを制限することができます。 この機能を利用するには、カーネルをコンパイルする際に以下のメニューを選択します。