README.md

   1 # Kconfig hardened check
   2
   3 ## Motivation
   4
   5 There are plenty of Linux kernel hardening config options. A lot of them are
   6 not enabled by the major distros. We have to enable these options ourselves to
   7 make our systems more secure.
   8
   9 But nobody likes checking configs manually. So let the computers do their job!
  10
  11 __kconfig-hardened-check.py__ helps me to check the Linux kernel Kconfig option list
  12 against my hardening preferences, which are based on the
  13
  14   - [KSPP recommended settings][1],
  15   - [CLIP OS kernel configuration][2],
  16   - last public [grsecurity][3] patch (options which they disable).
  17
  18 I also created [__Linux Kernel Defence Map__][4] that is a graphical representation of the
  19 relationships between these hardening features and the corresponding vulnerability classes
  20 or exploitation techniques.
  21
  22 ## Supported microarchitectures
  23
  24   - X86_64
  25   - X86_32
  26   - ARM64
  27   - ARM
  28
  29 ## Script output examples
  30
  31 ### Usage
  32 ```
  33 usage: kconfig-hardened-check.py [-h] [-p {X86_64,X86_32,ARM64,ARM}]
  34                                  [-c CONFIG] [--debug] [--json]
  35
  36 Checks the hardening options in the Linux kernel config
  37
  38 optional arguments:
  39   -h, --help            show this help message and exit
  40   -p {X86_64,X86_32,ARM64,ARM}, --print {X86_64,X86_32,ARM64,ARM}
  41                         print hardening preferences for selected architecture
  42   -c CONFIG, --config CONFIG
  43                         check the config_file against these preferences
  44   --debug               enable internal debug mode
  45   --json                print results in JSON format
  46
  47 ```
  48
  49 ### Script output for `Ubuntu 18.04 (Bionic Beaver with HWE)` kernel config
  50 ```
  51 $ ./kconfig-hardened-check.py -c config_files/distros/ubuntu-bionic-generic.config
  52 [+] Trying to detect architecture in "config_files/distros/ubuntu-bionic-generic.config"...
  53 [+] Detected architecture: X86_64
  54 [+] Trying to detect kernel version in "config_files/distros/ubuntu-bionic-generic.config"...
  55 [+] Found version line: "# Linux/x86 5.3.0-28-generic Kernel Configuration"
  56 [+] Detected kernel version: 5.3
  57 [+] Checking "config_files/distros/ubuntu-bionic-generic.config" against hardening preferences...
  58                  option name                 | desired val | decision |       reason       |   check result
  59 =========================================================================================================================
  60 CONFIG_BUG                                   |      y      |defconfig |  self_protection   |   OK
  61 CONFIG_STRICT_KERNEL_RWX                     |      y      |defconfig |  self_protection   |   OK
  62 CONFIG_STACKPROTECTOR_STRONG                 |      y      |defconfig |  self_protection   |   OK
  63 CONFIG_SLUB_DEBUG                            |      y      |defconfig |  self_protection   |   OK
  64 CONFIG_STRICT_MODULE_RWX                     |      y      |defconfig |  self_protection   |   OK
  65 CONFIG_GCC_PLUGINS                           |      y      |defconfig |  self_protection   |   FAIL: not found
  66 CONFIG_REFCOUNT_FULL                         |      y      |defconfig |  self_protection   |   FAIL: "is not set"
  67 CONFIG_MICROCODE                             |      y      |defconfig |  self_protection   |   OK
  68 CONFIG_RETPOLINE                             |      y      |defconfig |  self_protection   |   OK
  69 CONFIG_X86_SMAP                              |      y      |defconfig |  self_protection   |   OK
  70 CONFIG_X86_UMIP                              |      y      |defconfig |  self_protection   |   OK: CONFIG_X86_INTEL_UMIP "y"
  71 CONFIG_IOMMU_SUPPORT                         |      y      |defconfig |  self_protection   |   OK
  72 CONFIG_SYN_COOKIES                           |      y      |defconfig |  self_protection   |   OK
  73 CONFIG_PAGE_TABLE_ISOLATION                  |      y      |defconfig |  self_protection   |   OK
  74 CONFIG_RANDOMIZE_MEMORY                      |      y      |defconfig |  self_protection   |   OK
  75 CONFIG_INTEL_IOMMU                           |      y      |defconfig |  self_protection   |   OK
  76 CONFIG_AMD_IOMMU                             |      y      |defconfig |  self_protection   |   OK
  77 CONFIG_VMAP_STACK                            |      y      |defconfig |  self_protection   |   OK
  78 CONFIG_RANDOMIZE_BASE                        |      y      |defconfig |  self_protection   |   OK
  79 CONFIG_THREAD_INFO_IN_TASK                   |      y      |defconfig |  self_protection   |   OK
  80 CONFIG_BUG_ON_DATA_CORRUPTION                |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  81 CONFIG_DEBUG_WX                              |      y      |   kspp   |  self_protection   |   OK
  82 CONFIG_SCHED_STACK_END_CHECK                 |      y      |   kspp   |  self_protection   |   OK
  83 CONFIG_SLAB_FREELIST_HARDENED                |      y      |   kspp   |  self_protection   |   OK
  84 CONFIG_SLAB_FREELIST_RANDOM                  |      y      |   kspp   |  self_protection   |   OK
  85 CONFIG_SHUFFLE_PAGE_ALLOCATOR                |      y      |   kspp   |  self_protection   |   OK
  86 CONFIG_FORTIFY_SOURCE                        |      y      |   kspp   |  self_protection   |   OK
  87 CONFIG_GCC_PLUGIN_RANDSTRUCT                 |      y      |   kspp   |  self_protection   |   FAIL: not found
  88 CONFIG_GCC_PLUGIN_LATENT_ENTROPY             |      y      |   kspp   |  self_protection   |   FAIL: not found
  89 CONFIG_DEBUG_LIST                            |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  90 CONFIG_DEBUG_SG                              |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  91 CONFIG_DEBUG_CREDENTIALS                     |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  92 CONFIG_DEBUG_NOTIFIERS                       |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  93 CONFIG_HARDENED_USERCOPY                     |      y      |   kspp   |  self_protection   |   OK
  94 CONFIG_HARDENED_USERCOPY_FALLBACK            | is not set  |   kspp   |  self_protection   |   FAIL: "y"
  95 CONFIG_MODULE_SIG                            |      y      |   kspp   |  self_protection   |   OK
  96 CONFIG_MODULE_SIG_ALL                        |      y      |   kspp   |  self_protection   |   OK
  97 CONFIG_MODULE_SIG_SHA512                     |      y      |   kspp   |  self_protection   |   OK
  98 CONFIG_MODULE_SIG_FORCE                      |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  99 CONFIG_DEFAULT_MMAP_MIN_ADDR                 |    65536    |   kspp   |  self_protection   |   OK
 100 CONFIG_INIT_STACK_ALL                        |      y      |  clipos  |  self_protection   |   FAIL: not found
 101 CONFIG_INIT_ON_ALLOC_DEFAULT_ON              |      y      |  clipos  |  self_protection   |   OK
 102 CONFIG_INIT_ON_FREE_DEFAULT_ON               |      y      |  clipos  |  self_protection   |   OK: CONFIG_PAGE_POISONING "y"
 103 CONFIG_SECURITY_DMESG_RESTRICT               |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 104 CONFIG_DEBUG_VIRTUAL                         |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 105 CONFIG_STATIC_USERMODEHELPER                 |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 106 CONFIG_SLAB_MERGE_DEFAULT                    | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 107 CONFIG_GCC_PLUGIN_RANDSTRUCT_PERFORMANCE     | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_RANDSTRUCT is needed
 108 CONFIG_GCC_PLUGIN_STACKLEAK                  |      y      |  clipos  |  self_protection   |   FAIL: not found
 109 CONFIG_STACKLEAK_METRICS                     | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_STACKLEAK is needed
 110 CONFIG_STACKLEAK_RUNTIME_DISABLE             | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_STACKLEAK is needed
 111 CONFIG_RANDOM_TRUST_CPU                      | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 112 CONFIG_INTEL_IOMMU_SVM                       |      y      |  clipos  |  self_protection   |   OK
 113 CONFIG_INTEL_IOMMU_DEFAULT_ON                |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 114 CONFIG_SLUB_DEBUG_ON                         |      y      |    my    |  self_protection   |   FAIL: "is not set"
 115 CONFIG_RESET_ATTACK_MITIGATION               |      y      |    my    |  self_protection   |   OK
 116 CONFIG_AMD_IOMMU_V2                          |      y      |    my    |  self_protection   |   FAIL: "m"
 117 CONFIG_SECURITY                              |      y      |defconfig |  security_policy   |   OK
 118 CONFIG_SECURITY_YAMA                         |      y      |   kspp   |  security_policy   |   OK
 119 CONFIG_SECURITY_LOADPIN                      |      y      |    my    |  security_policy   |   FAIL: "is not set"
 120 CONFIG_SECURITY_LOCKDOWN_LSM                 |      y      |    my    |  security_policy   |   FAIL: not found
 121 CONFIG_SECURITY_LOCKDOWN_LSM_EARLY           |      y      |    my    |  security_policy   |   FAIL: not found
 122 CONFIG_LOCK_DOWN_KERNEL_FORCE_CONFIDENTIALITY|      y      |    my    |  security_policy   |   FAIL: not found
 123 CONFIG_SECURITY_SAFESETID                    |      y      |    my    |  security_policy   |   OK
 124 CONFIG_SECURITY_WRITABLE_HOOKS               | is not set  |    my    |  security_policy   |   OK: not found
 125 CONFIG_SECCOMP                               |      y      |defconfig | cut_attack_surface |   OK
 126 CONFIG_SECCOMP_FILTER                        |      y      |defconfig | cut_attack_surface |   OK
 127 CONFIG_STRICT_DEVMEM                         |      y      |defconfig | cut_attack_surface |   OK
 128 CONFIG_MODULES                               | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 129 CONFIG_DEVMEM                                | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 130 CONFIG_IO_STRICT_DEVMEM                      |      y      |   kspp   | cut_attack_surface |   FAIL: "is not set"
 131 CONFIG_ACPI_CUSTOM_METHOD                    | is not set  |   kspp   | cut_attack_surface |   OK
 132 CONFIG_COMPAT_BRK                            | is not set  |   kspp   | cut_attack_surface |   OK
 133 CONFIG_DEVKMEM                               | is not set  |   kspp   | cut_attack_surface |   OK
 134 CONFIG_COMPAT_VDSO                           | is not set  |   kspp   | cut_attack_surface |   OK
 135 CONFIG_BINFMT_MISC                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "m"
 136 CONFIG_INET_DIAG                             | is not set  |   kspp   | cut_attack_surface |   FAIL: "m"
 137 CONFIG_KEXEC                                 | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 138 CONFIG_PROC_KCORE                            | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 139 CONFIG_LEGACY_PTYS                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 140 CONFIG_HIBERNATION                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 141 CONFIG_LEGACY_VSYSCALL_NONE                  |      y      |   kspp   | cut_attack_surface |   FAIL: "is not set"
 142 CONFIG_IA32_EMULATION                        | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 143 CONFIG_X86_X32                               | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 144 CONFIG_MODIFY_LDT_SYSCALL                    | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 145 CONFIG_X86_PTDUMP                            | is not set  |grsecurity| cut_attack_surface |   OK
 146 CONFIG_ZSMALLOC_STAT                         | is not set  |grsecurity| cut_attack_surface |   OK
 147 CONFIG_PAGE_OWNER                            | is not set  |grsecurity| cut_attack_surface |   OK
 148 CONFIG_DEBUG_KMEMLEAK                        | is not set  |grsecurity| cut_attack_surface |   OK
 149 CONFIG_BINFMT_AOUT                           | is not set  |grsecurity| cut_attack_surface |   OK: not found
 150 CONFIG_KPROBES                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 151 CONFIG_UPROBES                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 152 CONFIG_GENERIC_TRACER                        | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 153 CONFIG_PROC_VMCORE                           | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 154 CONFIG_PROC_PAGE_MONITOR                     | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 155 CONFIG_USELIB                                | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 156 CONFIG_CHECKPOINT_RESTORE                    | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 157 CONFIG_USERFAULTFD                           | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 158 CONFIG_HWPOISON_INJECT                       | is not set  |grsecurity| cut_attack_surface |   FAIL: "m"
 159 CONFIG_MEM_SOFT_DIRTY                        | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 160 CONFIG_DEVPORT                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 161 CONFIG_DEBUG_FS                              | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 162 CONFIG_NOTIFIER_ERROR_INJECTION              | is not set  |grsecurity| cut_attack_surface |   FAIL: "m"
 163 CONFIG_ACPI_TABLE_UPGRADE                    | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 164 CONFIG_ACPI_APEI_EINJ                        | is not set  | lockdown | cut_attack_surface |   FAIL: "m"
 165 CONFIG_PROFILING                             | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 166 CONFIG_BPF_SYSCALL                           | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 167 CONFIG_MMIOTRACE_TEST                        | is not set  | lockdown | cut_attack_surface |   OK
 168 CONFIG_KSM                                   | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 169 CONFIG_KALLSYMS                              | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 170 CONFIG_X86_VSYSCALL_EMULATION                | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 171 CONFIG_MAGIC_SYSRQ                           | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 172 CONFIG_KEXEC_FILE                            | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 173 CONFIG_USER_NS                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 174 CONFIG_LDISC_AUTOLOAD                        | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 175 CONFIG_MMIOTRACE                             | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 176 CONFIG_LIVEPATCH                             | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 177 CONFIG_IP_DCCP                               | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 178 CONFIG_IP_SCTP                               | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 179 CONFIG_FTRACE                                | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 180 CONFIG_BPF_JIT                               | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 181 CONFIG_VIDEO_VIVID                           | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 182 CONFIG_ARCH_MMAP_RND_BITS                    |     32      |  clipos  |userspace_hardening |   FAIL: "28"
 183
 184 [+] config check is finished: 'OK' - 50 / 'FAIL' - 73
 185 ```
 186
 187 ## kconfig-hardened-check versioning
 188
 189 I usually update the kernel hardening recommendations after each Linux kernel release.
 190
 191 So the version of `kconfig-hardened-check` is associated with the corresponding version of the kernel.
 192
 193 The version format is: __[major_number].[kernel_version]__
 194
 195 The current version of `kconfig-hardened-check` is __0.5.3__, it's marked with the git tag.
 196
 197
 198 ## Questions and answers
 199
 200 __Q:__ How disabling `CONFIG_USER_NS` cuts the attack surface? It's needed for containers!
 201
 202 __A:__ Yes, the `CONFIG_USER_NS` option provides some isolation between the userspace programs,
 203 but the script recommends disabling it to cut the attack surface __of the kernel__.
 204
 205 The rationale:
 206
 207   - A nice LWN article about the corresponding LKML discussion: https://lwn.net/Articles/673597/
 208
 209   - A twitter thread about `CONFIG_USER_NS` and security: https://twitter.com/robertswiecki/status/1095447678949953541
 210
 211 <br />
 212
 213 __Q:__ Why `CONFIG_GCC_PLUGINS` is automatically disabled during the kernel compilation?
 214
 215 __A:__ It means that your gcc doesn't support plugins. For example, if you have `gcc-7` on Ubuntu,
 216 try to install `gcc-7-plugin-dev` package, it should help.
 217
 218 <br />
 219
 220 __Q:__ KSPP and CLIP OS recommend `CONFIG_PANIC_ON_OOPS=y`. Why doesn't this tool do the same?
 221
 222 __A:__ I personally don't support this recommendation because it provides easy denial-of-service
 223 attacks for the whole system (kernel oops is not a rare situation). I think having `CONFIG_BUG` is enough here --
 224 if we have a kernel oops in the process context, the offending/attacking process is killed.
 225
 226 [1]: http://kernsec.org/wiki/index.php/Kernel_Self_Protection_Project/Recommended_Settings
 227 [2]: https://docs.clip-os.org/clipos/kernel.html#configuration
 228 [3]: https://grsecurity.net/
 229 [4]: https://github.com/a13xp0p0v/linux-kernel-defence-map