>[оверквотинг удален]
>>Слабая, зато простая. А чем сложнее, тем легче ошибиться.
>>
>>> Программы работающие с uid == 0 не такая уж
>>>и редкость, напрмер, для того чтобы демон смог слушать на порту
>>>< 1024 его нужно запускать с uid == 0 и это
>>>даёт ему неограниченный доступ ко всей системе.
>>
>>Пардон, а вы про privilege revocation слышали?
>
>слышал, но это ж надо приложения переписывать

Большинство нормальных программ уже так написано — Apache HTTPd Server, BIND, PostgreSQL… А если такая защита грамотно реализована, то получается практически непробиваемая для всяких injection'ов стена, от чего тот же MAC не спасёт.

>я и про POSIX.1E знаю, но этого нет на OpenBSD

Нет, и, AFAIK, не будет по вышеупомянутым причинам: слишком много сложностей вносит, значительно увеличивая вероятность ошибки (как минимум; как максимум — это ещё и куча дополнительного кода, который тоже надо тщательно исследовать).

>>Виртуальные окружения отнюдь не панацея - дырки в собственно ПО зачастую дополняются
>>дырками в виртуализаторах; да и не спасают они от собственно взлома
>>- в случае со всякими Web-сервисами это обычно уже означает кражу
>>и/или порчу ценной информации.
>
>jail на FreeBSD достаточно неплох и securelevel для каждого jail свой, можно
>в приложение добавить, как например, сделано в портах для isc-dhcpd

Да, jail, как и OpenVZ — вещь приятная. sysjail, к сожалению, загнулся после нахождения критичных проблем в systrace. :(