Открываем учебник на разделе "выполнение по доверительному пути" (Trusted path ecxecution (TPE))

Алгоритм: ядро перед запуском программы проверяет её права:
1. находится ли прога в каталоге доступном на запись только root?
2. может ли кто кроме root её изменять?
И на основе этой простой проверки отказывает в запуске всему что накомпилял или накачал с инетов Вася.

Технология дешовая никаких дополнительных настроек или написания правил допуска не требует.