La primera versión de SELinux se remonta a finales del año 2000 cuando la NSA (Agencia Nacional de Seguridad de los Estados Unidos). El objetivo del mismo es, por un lado, demostrar la posibilidad de implementar el modelo de seguridad de control de acceso obligatorio (MDAC) y el control de acceso basado en roles (RBAC) en entorno Linux. Como segundo objetivo, el hacer frente a la eventualidad de que los sistemas operativos "trusted" comerciales dejaran de estar disponibles.
SELinux puede considerarse como una implementación práctica del modelo de seguridad de control de acceso obligatorio basado en el núcleo del sistema operativo Linux. Un administrador de un sistema SELinux tiene la posibilidad de configurar una política donde se define los archivos a que tiene acceso cada programa.
Para poder realizar esto, SELinux implementa un mecanismo para establecer en cada archivo y proceso el contexto en el que está siendo utilizado. Mediante la utilización de un módulo del sistema operativo, es posible establecer reglas para permitir o denegar el acceso a cualquier archivo del sistema (utilizando el concepto de archivo de Unix, lo que incluye a los dispositivos, archivos...).
El sistema operativo dispone de un proceso servidor de seguridad, que se ejecuta como parte del núcleo, que decide en base a la política de seguridad definida por el administrador, si algo (un proceso o un usuario) dispone de permiso para acceder a un objeto (archivo, dispositivo...). Este mecanismo de control se denomina Type Enforcement (TE).
Así, ante una incidencia de seguridad como puede ser un desbordamiento de búfer en un proceso ejecutado por root, el atacante sólo podrá acceder a los archivos para los cuales el proceso vulnerable esté autorizado por la política del sistema. No tendrá ningún efecto sobre el resto de archivos u objetos del sistema.
SELinux también permite implementar un modelo adicional de seguridad (Multi-Level Security, MLS) en el que además de lo indicado hasta ahora es posible, para cada objeto, una capa de seguridad (como "altamente secreta", "secreta", "confidencial" y "sin restricción"). En este modelo, a los mecanismos descritos anteriormente se añade la restricción de que únicamente aquellos procesos y usuarios situados en la misma capa (o una capa superior) puede acceder a los objetos, pero nunca al revés. Así un usuario o un proceso de la capa "confidencial" puede acceder a la información "confidencial" y "sin restricción", pero nunca a la información marcada como "secreta" o "altamente secreta".
