README.md

   1 # kconfig-hardened-check
   2
   3 ![functional test](https://github.com/a13xp0p0v/kconfig-hardened-check/workflows/functional%20test/badge.svg)
   4 [![Coverage Status](https://codecov.io/gh/a13xp0p0v/kconfig-hardened-check/graph/badge.svg)](https://codecov.io/gh/a13xp0p0v/kconfig-hardened-check)
   5
   6 ## Motivation
   7
   8 There are plenty of security hardening options for the Linux kernel. A lot of them are
   9 not enabled by the major distros. We have to enable these options ourselves to
  10 make our systems more secure.
  11
  12 But nobody likes checking configs manually. So let the computers do their job!
  13
  14 __kconfig-hardened-check.py__ helps me to check the Linux kernel options
  15 against my security hardening preferences, which are based on the
  16
  17   - [KSPP recommended settings][1],
  18   - [CLIP OS kernel configuration][2],
  19   - Last public [grsecurity][3] patch (options which they disable),
  20   - [SECURITY_LOCKDOWN_LSM][5] patchset,
  21   - Direct feedback from Linux kernel maintainers (see [#38][6], [#53][15], [#54][16], [#62][17]).
  22
  23 This tool supports checking __Kconfig__ options and __kernel cmdline__ parameters.
  24
  25 I also created [__Linux Kernel Defence Map__][4] that is a graphical representation of the
  26 relationships between security hardening features and the corresponding vulnerability classes
  27 or exploitation techniques.
  28
  29 ## Supported microarchitectures
  30
  31   - X86_64
  32   - X86_32
  33   - ARM64
  34   - ARM
  35
  36 TODO: RISC-V
  37
  38 ## Installation
  39
  40 You can install the package:
  41
  42 ```
  43 pip install git+https://github.com/a13xp0p0v/kconfig-hardened-check
  44 ```
  45
  46 or simply run `./bin/kconfig-hardened-check` from the cloned repository.
  47
  48 Some Linux distributions also provide `kconfig-hardened-check` as a package.
  49
  50 ## Usage
  51 ```
  52 usage: kconfig-hardened-check [-h] [--version] [-p {X86_64,X86_32,ARM64,ARM}]
  53                               [-c CONFIG]
  54                               [-l CMDLINE]
  55                               [-m {verbose,json,show_ok,show_fail}]
  56
  57 A tool for checking the security hardening options of the Linux kernel
  58
  59 optional arguments:
  60   -h, --help            show this help message and exit
  61   --version             show program's version number and exit
  62   -p {X86_64,X86_32,ARM64,ARM}, --print {X86_64,X86_32,ARM64,ARM}
  63                         print security hardening preferences for the selected architecture
  64   -c CONFIG, --config CONFIG
  65                         check the kernel kconfig file against these preferences
  66   -l CMDLINE, --cmdline CMDLINE
  67                         check the kernel cmdline file against these preferences
  68   -m {verbose,json,show_ok,show_fail}, --mode {verbose,json,show_ok,show_fail}
  69                         choose the report mode
  70 ```
  71
  72 ## Output modes
  73
  74   -  no `-m` argument for the default output mode (see the example below)
  75   - `-m verbose` for printing additional info:
  76     - config options without a corresponding check
  77     - internals of complex checks with AND/OR, like this:
  78 ```
  79 -------------------------------------------------------------------------------------------
  80     <<< OR >>>
  81 CONFIG_STRICT_DEVMEM                         |      y      |defconfig | cut_attack_surface
  82 CONFIG_DEVMEM                                | is not set  |   kspp   | cut_attack_surface
  83 -------------------------------------------------------------------------------------------
  84 ```
  85   - `-m show_fail` for showing only the failed checks
  86   - `-m show_ok` for showing only the successful checks
  87   - `-m json` for printing the results in JSON format (for combining `kconfig-hardened-check` with other tools)
  88
  89 ## Example output for `Fedora 34` kernel config
  90 ```
  91 $ ./bin/kconfig-hardened-check -c /boot/config-5.16.20-100.fc34.x86_64 -l /proc/cmdline
  92 [+] Kconfig file to check: /boot/config-5.16.20-100.fc34.x86_64
  93 [+] Kernel cmdline file to check: /proc/cmdline
  94 [+] Detected architecture: X86_64
  95 [+] Detected kernel version: 5.16
  96 =========================================================================================================================
  97               option name               | type  |desired val | decision |      reason      | check result
  98 =========================================================================================================================
  99 CONFIG_BUG                              |kconfig|     y      |defconfig | self_protection  | OK
 100 CONFIG_SLUB_DEBUG                       |kconfig|     y      |defconfig | self_protection  | OK
 101 CONFIG_GCC_PLUGINS                      |kconfig|     y      |defconfig | self_protection  | OK
 102 CONFIG_STACKPROTECTOR                   |kconfig|     y      |defconfig | self_protection  | OK
 103 CONFIG_STACKPROTECTOR_STRONG            |kconfig|     y      |defconfig | self_protection  | FAIL: "is not set"
 104 CONFIG_STRICT_KERNEL_RWX                |kconfig|     y      |defconfig | self_protection  | OK
 105 CONFIG_STRICT_MODULE_RWX                |kconfig|     y      |defconfig | self_protection  | OK
 106 CONFIG_REFCOUNT_FULL                    |kconfig|     y      |defconfig | self_protection  | OK: version >= 5.5
 107 CONFIG_THREAD_INFO_IN_TASK              |kconfig|     y      |defconfig | self_protection  | OK
 108 CONFIG_IOMMU_SUPPORT                    |kconfig|     y      |defconfig | self_protection  | OK
 109 CONFIG_RANDOMIZE_BASE                   |kconfig|     y      |defconfig | self_protection  | OK
 110 CONFIG_VMAP_STACK                       |kconfig|     y      |defconfig | self_protection  | OK
 111 CONFIG_MICROCODE                        |kconfig|     y      |defconfig | self_protection  | OK
 112 CONFIG_RETPOLINE                        |kconfig|     y      |defconfig | self_protection  | OK
 113 CONFIG_X86_SMAP                         |kconfig|     y      |defconfig | self_protection  | OK
 114 CONFIG_SYN_COOKIES                      |kconfig|     y      |defconfig | self_protection  | OK
 115 CONFIG_X86_UMIP                         |kconfig|     y      |defconfig | self_protection  | OK
 116 CONFIG_PAGE_TABLE_ISOLATION             |kconfig|     y      |defconfig | self_protection  | OK
 117 CONFIG_RANDOMIZE_MEMORY                 |kconfig|     y      |defconfig | self_protection  | OK
 118 CONFIG_INTEL_IOMMU                      |kconfig|     y      |defconfig | self_protection  | OK
 119 CONFIG_AMD_IOMMU                        |kconfig|     y      |defconfig | self_protection  | OK
 120 CONFIG_SECURITY_DMESG_RESTRICT          |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 121 CONFIG_BUG_ON_DATA_CORRUPTION           |kconfig|     y      |   kspp   | self_protection  | OK
 122 CONFIG_DEBUG_WX                         |kconfig|     y      |   kspp   | self_protection  | OK
 123 CONFIG_SCHED_STACK_END_CHECK            |kconfig|     y      |   kspp   | self_protection  | OK
 124 CONFIG_SLAB_FREELIST_HARDENED           |kconfig|     y      |   kspp   | self_protection  | OK
 125 CONFIG_SLAB_FREELIST_RANDOM             |kconfig|     y      |   kspp   | self_protection  | OK
 126 CONFIG_SHUFFLE_PAGE_ALLOCATOR           |kconfig|     y      |   kspp   | self_protection  | OK
 127 CONFIG_FORTIFY_SOURCE                   |kconfig|     y      |   kspp   | self_protection  | OK
 128 CONFIG_DEBUG_LIST                       |kconfig|     y      |   kspp   | self_protection  | OK
 129 CONFIG_DEBUG_SG                         |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 130 CONFIG_DEBUG_CREDENTIALS                |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 131 CONFIG_DEBUG_NOTIFIERS                  |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 132 CONFIG_INIT_ON_ALLOC_DEFAULT_ON         |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 133 CONFIG_GCC_PLUGIN_LATENT_ENTROPY        |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 134 CONFIG_KFENCE                           |kconfig|     y      |   kspp   | self_protection  | OK
 135 CONFIG_WERROR                           |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 136 CONFIG_IOMMU_DEFAULT_DMA_STRICT         |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 137 CONFIG_ZERO_CALL_USED_REGS              |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 138 CONFIG_GCC_PLUGIN_RANDSTRUCT            |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 139 CONFIG_HARDENED_USERCOPY                |kconfig|     y      |   kspp   | self_protection  | OK
 140 CONFIG_HARDENED_USERCOPY_FALLBACK       |kconfig| is not set |   kspp   | self_protection  | OK: not found
 141 CONFIG_HARDENED_USERCOPY_PAGESPAN       |kconfig| is not set |   kspp   | self_protection  | OK: not found
 142 CONFIG_MODULE_SIG                       |kconfig|     y      |   kspp   | self_protection  | OK
 143 CONFIG_MODULE_SIG_ALL                   |kconfig|     y      |   kspp   | self_protection  | OK
 144 CONFIG_MODULE_SIG_SHA512                |kconfig|     y      |   kspp   | self_protection  | OK
 145 CONFIG_MODULE_SIG_FORCE                 |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 146 CONFIG_INIT_STACK_ALL_ZERO              |kconfig|     y      |   kspp   | self_protection  | FAIL: not found
 147 CONFIG_INIT_ON_FREE_DEFAULT_ON          |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 148 CONFIG_GCC_PLUGIN_STACKLEAK             |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 149 CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT  |kconfig|     y      |   kspp   | self_protection  | FAIL: "is not set"
 150 CONFIG_SCHED_CORE                       |kconfig|     y      |   kspp   | self_protection  | OK
 151 CONFIG_DEFAULT_MMAP_MIN_ADDR            |kconfig|   65536    |   kspp   | self_protection  | OK
 152 CONFIG_UBSAN_BOUNDS                     |kconfig|     y      |maintainer| self_protection  | FAIL: not found
 153 CONFIG_UBSAN_SANITIZE_ALL               |kconfig|     y      |maintainer| self_protection  | FAIL: CONFIG_UBSAN_BOUNDS not "y"
 154 CONFIG_UBSAN_TRAP                       |kconfig|     y      |maintainer| self_protection  | FAIL: CONFIG_UBSAN_BOUNDS not "y"
 155 CONFIG_DEBUG_VIRTUAL                    |kconfig|     y      |  clipos  | self_protection  | FAIL: "is not set"
 156 CONFIG_STATIC_USERMODEHELPER            |kconfig|     y      |  clipos  | self_protection  | FAIL: "is not set"
 157 CONFIG_EFI_DISABLE_PCI_DMA              |kconfig|     y      |  clipos  | self_protection  | FAIL: "is not set"
 158 CONFIG_SLAB_MERGE_DEFAULT               |kconfig| is not set |  clipos  | self_protection  | OK
 159 CONFIG_RANDOM_TRUST_BOOTLOADER          |kconfig| is not set |  clipos  | self_protection  | OK
 160 CONFIG_RANDOM_TRUST_CPU                 |kconfig| is not set |  clipos  | self_protection  | FAIL: "y"
 161 CONFIG_GCC_PLUGIN_RANDSTRUCT_PERFORMANCE|kconfig| is not set |  clipos  | self_protection  | FAIL: CONFIG_GCC_PLUGIN_RANDSTRUCT not "y"
 162 CONFIG_STACKLEAK_METRICS                |kconfig| is not set |  clipos  | self_protection  | FAIL: CONFIG_GCC_PLUGIN_STACKLEAK not "y"
 163 CONFIG_STACKLEAK_RUNTIME_DISABLE        |kconfig| is not set |  clipos  | self_protection  | FAIL: CONFIG_GCC_PLUGIN_STACKLEAK not "y"
 164 CONFIG_INTEL_IOMMU_DEFAULT_ON           |kconfig|     y      |  clipos  | self_protection  | FAIL: "is not set"
 165 CONFIG_INTEL_IOMMU_SVM                  |kconfig|     y      |  clipos  | self_protection  | OK
 166 CONFIG_RESET_ATTACK_MITIGATION          |kconfig|     y      |    my    | self_protection  | FAIL: "is not set"
 167 CONFIG_SLS                              |kconfig|     y      |    my    | self_protection  | FAIL: not found
 168 CONFIG_AMD_IOMMU_V2                     |kconfig|     y      |    my    | self_protection  | FAIL: "m"
 169 CONFIG_SECURITY                         |kconfig|     y      |defconfig | security_policy  | OK
 170 CONFIG_SECURITY_YAMA                    |kconfig|     y      |   kspp   | security_policy  | OK
 171 CONFIG_SECURITY_SELINUX_DISABLE         |kconfig| is not set |   kspp   | security_policy  | OK
 172 CONFIG_SECURITY_LOCKDOWN_LSM            |kconfig|     y      |  clipos  | security_policy  | OK
 173 CONFIG_SECURITY_LOCKDOWN_LSM_EARLY      |kconfig|     y      |  clipos  | security_policy  | OK
 174 CONFIG_LOCK_DOWN_KERNEL_FORCE_CONFIDENTIALITY|kconfig|     y      |  clipos  | security_policy  | FAIL: "is not set"
 175 CONFIG_SECURITY_WRITABLE_HOOKS          |kconfig| is not set |    my    | security_policy  | OK: not found
 176 CONFIG_SECURITY_SAFESETID               |kconfig|     y      |    my    | security_policy  | FAIL: "is not set"
 177 CONFIG_SECURITY_LOADPIN                 |kconfig|     y      |    my    | security_policy  | FAIL: "is not set"
 178 CONFIG_SECURITY_LOADPIN_ENFORCE         |kconfig|     y      |    my    | security_policy  | FAIL: CONFIG_SECURITY_LOADPIN not "y"
 179 CONFIG_BPF_UNPRIV_DEFAULT_OFF           |kconfig|     y      |defconfig |cut_attack_surface| OK
 180 CONFIG_SECCOMP                          |kconfig|     y      |defconfig |cut_attack_surface| OK
 181 CONFIG_SECCOMP_FILTER                   |kconfig|     y      |defconfig |cut_attack_surface| OK
 182 CONFIG_STRICT_DEVMEM                    |kconfig|     y      |defconfig |cut_attack_surface| OK
 183 CONFIG_ACPI_CUSTOM_METHOD               |kconfig| is not set |   kspp   |cut_attack_surface| OK
 184 CONFIG_COMPAT_BRK                       |kconfig| is not set |   kspp   |cut_attack_surface| OK
 185 CONFIG_DEVKMEM                          |kconfig| is not set |   kspp   |cut_attack_surface| OK: not found
 186 CONFIG_COMPAT_VDSO                      |kconfig| is not set |   kspp   |cut_attack_surface| OK
 187 CONFIG_BINFMT_MISC                      |kconfig| is not set |   kspp   |cut_attack_surface| FAIL: "m"
 188 CONFIG_INET_DIAG                        |kconfig| is not set |   kspp   |cut_attack_surface| FAIL: "y"
 189 CONFIG_KEXEC                            |kconfig| is not set |   kspp   |cut_attack_surface| FAIL: "y"
 190 CONFIG_PROC_KCORE                       |kconfig| is not set |   kspp   |cut_attack_surface| FAIL: "y"
 191 CONFIG_LEGACY_PTYS                      |kconfig| is not set |   kspp   |cut_attack_surface| OK
 192 CONFIG_HIBERNATION                      |kconfig| is not set |   kspp   |cut_attack_surface| FAIL: "y"
 193 CONFIG_IA32_EMULATION                   |kconfig| is not set |   kspp   |cut_attack_surface| FAIL: "y"
 194 CONFIG_X86_X32                          |kconfig| is not set |   kspp   |cut_attack_surface| OK
 195 CONFIG_MODIFY_LDT_SYSCALL               |kconfig| is not set |   kspp   |cut_attack_surface| FAIL: "y"
 196 CONFIG_OABI_COMPAT                      |kconfig| is not set |   kspp   |cut_attack_surface| OK: not found
 197 CONFIG_X86_MSR                          |kconfig| is not set |   kspp   |cut_attack_surface| FAIL: "y"
 198 CONFIG_MODULES                          |kconfig| is not set |   kspp   |cut_attack_surface| FAIL: "y"
 199 CONFIG_DEVMEM                           |kconfig| is not set |   kspp   |cut_attack_surface| FAIL: "y"
 200 CONFIG_IO_STRICT_DEVMEM                 |kconfig|     y      |   kspp   |cut_attack_surface| OK
 201 CONFIG_LEGACY_VSYSCALL_NONE             |kconfig|     y      |   kspp   |cut_attack_surface| FAIL: "is not set"
 202 CONFIG_ZSMALLOC_STAT                    |kconfig| is not set |  grsec   |cut_attack_surface| OK
 203 CONFIG_PAGE_OWNER                       |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 204 CONFIG_DEBUG_KMEMLEAK                   |kconfig| is not set |  grsec   |cut_attack_surface| OK
 205 CONFIG_BINFMT_AOUT                      |kconfig| is not set |  grsec   |cut_attack_surface| OK: not found
 206 CONFIG_KPROBE_EVENTS                    |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 207 CONFIG_UPROBE_EVENTS                    |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 208 CONFIG_GENERIC_TRACER                   |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 209 CONFIG_FUNCTION_TRACER                  |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 210 CONFIG_STACK_TRACER                     |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 211 CONFIG_HIST_TRIGGERS                    |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 212 CONFIG_BLK_DEV_IO_TRACE                 |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 213 CONFIG_PROC_VMCORE                      |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 214 CONFIG_PROC_PAGE_MONITOR                |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 215 CONFIG_USELIB                           |kconfig| is not set |  grsec   |cut_attack_surface| OK
 216 CONFIG_CHECKPOINT_RESTORE               |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 217 CONFIG_USERFAULTFD                      |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 218 CONFIG_HWPOISON_INJECT                  |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "m"
 219 CONFIG_MEM_SOFT_DIRTY                   |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 220 CONFIG_DEVPORT                          |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 221 CONFIG_DEBUG_FS                         |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 222 CONFIG_NOTIFIER_ERROR_INJECTION         |kconfig| is not set |  grsec   |cut_attack_surface| OK
 223 CONFIG_FAIL_FUTEX                       |kconfig| is not set |  grsec   |cut_attack_surface| OK: not found
 224 CONFIG_PUNIT_ATOM_DEBUG                 |kconfig| is not set |  grsec   |cut_attack_surface| OK
 225 CONFIG_ACPI_CONFIGFS                    |kconfig| is not set |  grsec   |cut_attack_surface| OK
 226 CONFIG_EDAC_DEBUG                       |kconfig| is not set |  grsec   |cut_attack_surface| OK
 227 CONFIG_DRM_I915_DEBUG                   |kconfig| is not set |  grsec   |cut_attack_surface| OK: not found
 228 CONFIG_BCACHE_CLOSURES_DEBUG            |kconfig| is not set |  grsec   |cut_attack_surface| OK
 229 CONFIG_DVB_C8SECTPFE                    |kconfig| is not set |  grsec   |cut_attack_surface| OK: not found
 230 CONFIG_MTD_SLRAM                        |kconfig| is not set |  grsec   |cut_attack_surface| OK
 231 CONFIG_MTD_PHRAM                        |kconfig| is not set |  grsec   |cut_attack_surface| OK
 232 CONFIG_IO_URING                         |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 233 CONFIG_KCMP                             |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 234 CONFIG_RSEQ                             |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 235 CONFIG_LATENCYTOP                       |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 236 CONFIG_KCOV                             |kconfig| is not set |  grsec   |cut_attack_surface| OK
 237 CONFIG_PROVIDE_OHCI1394_DMA_INIT        |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 238 CONFIG_SUNRPC_DEBUG                     |kconfig| is not set |  grsec   |cut_attack_surface| FAIL: "y"
 239 CONFIG_PTDUMP_DEBUGFS                   |kconfig| is not set |  grsec   |cut_attack_surface| OK
 240 CONFIG_DRM_LEGACY                       |kconfig| is not set |maintainer|cut_attack_surface| OK
 241 CONFIG_FB                               |kconfig| is not set |maintainer|cut_attack_surface| FAIL: "y"
 242 CONFIG_VT                               |kconfig| is not set |maintainer|cut_attack_surface| FAIL: "y"
 243 CONFIG_BLK_DEV_FD                       |kconfig| is not set |maintainer|cut_attack_surface| FAIL: "m"
 244 CONFIG_BLK_DEV_FD_RAWCMD                |kconfig| is not set |maintainer|cut_attack_surface| OK: not found
 245 CONFIG_AIO                              |kconfig| is not set |grapheneos|cut_attack_surface| FAIL: "y"
 246 CONFIG_STAGING                          |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 247 CONFIG_KSM                              |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 248 CONFIG_KALLSYMS                         |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 249 CONFIG_X86_VSYSCALL_EMULATION           |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 250 CONFIG_MAGIC_SYSRQ                      |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 251 CONFIG_KEXEC_FILE                       |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 252 CONFIG_USER_NS                          |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 253 CONFIG_X86_CPUID                        |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 254 CONFIG_X86_IOPL_IOPERM                  |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 255 CONFIG_ACPI_TABLE_UPGRADE               |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 256 CONFIG_EFI_CUSTOM_SSDT_OVERLAYS         |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 257 CONFIG_LDISC_AUTOLOAD                   |kconfig| is not set |  clipos  |cut_attack_surface| FAIL: "y"
 258 CONFIG_X86_INTEL_TSX_MODE_OFF           |kconfig|     y      |  clipos  |cut_attack_surface| OK
 259 CONFIG_BPF_SYSCALL                      |kconfig| is not set | lockdown |cut_attack_surface| FAIL: "y"
 260 CONFIG_EFI_TEST                         |kconfig| is not set | lockdown |cut_attack_surface| FAIL: "m"
 261 CONFIG_MMIOTRACE_TEST                   |kconfig| is not set | lockdown |cut_attack_surface| OK
 262 CONFIG_KPROBES                          |kconfig| is not set | lockdown |cut_attack_surface| FAIL: "y"
 263 CONFIG_TRIM_UNUSED_KSYMS                |kconfig|     y      |    my    |cut_attack_surface| FAIL: not found
 264 CONFIG_MMIOTRACE                        |kconfig| is not set |    my    |cut_attack_surface| FAIL: "y"
 265 CONFIG_LIVEPATCH                        |kconfig| is not set |    my    |cut_attack_surface| FAIL: "y"
 266 CONFIG_IP_DCCP                          |kconfig| is not set |    my    |cut_attack_surface| OK
 267 CONFIG_IP_SCTP                          |kconfig| is not set |    my    |cut_attack_surface| FAIL: "m"
 268 CONFIG_FTRACE                           |kconfig| is not set |    my    |cut_attack_surface| FAIL: "y"
 269 CONFIG_VIDEO_VIVID                      |kconfig| is not set |    my    |cut_attack_surface| OK: not found
 270 CONFIG_INPUT_EVBUG                      |kconfig| is not set |    my    |cut_attack_surface| OK
 271 CONFIG_KGDB                             |kconfig| is not set |    my    |cut_attack_surface| FAIL: "y"
 272 CONFIG_INTEGRITY                        |kconfig|     y      |defconfig | harden_userspace | OK
 273 CONFIG_ARCH_MMAP_RND_BITS               |kconfig|     32     |  clipos  | harden_userspace | FAIL: "28"
 274 pti                                     |cmdline|     on     |   kspp   | self_protection  | FAIL: not found
 275
 276 [+] Config check is finished: 'OK' - 82 / 'FAIL' - 94
 277 ```
 278
 279 ## kconfig-hardened-check versioning
 280
 281 I usually update the kernel security hardening recommendations after each Linux kernel release.
 282
 283 So the version of `kconfig-hardened-check` is associated with the corresponding version of the kernel.
 284
 285 The version format is: __[major_number].[kernel_version].[kernel_patchlevel]__
 286
 287
 288 ## Questions and answers
 289
 290 __Q:__ How disabling `CONFIG_USER_NS` cuts the attack surface? It's needed for containers!
 291
 292 __A:__ Yes, the `CONFIG_USER_NS` option provides some isolation between the userspace programs,
 293 but the tool recommends disabling it to cut the attack surface __of the kernel__.
 294
 295 The rationale:
 296
 297   - A nice LWN article about the corresponding LKML discussion: https://lwn.net/Articles/673597/
 298
 299   - A twitter thread about `CONFIG_USER_NS` and security: https://twitter.com/robertswiecki/status/1095447678949953541
 300
 301   - A good overview of the trade-off between having user namespaces enabled, disabled and available only for root: https://github.com/NixOS/nixpkgs/pull/84522#issuecomment-614640601
 302
 303 <br />
 304
 305 __Q:__ Why `CONFIG_GCC_PLUGINS` is automatically disabled during the kernel compilation?
 306
 307 __A:__ It means that your gcc doesn't support plugins. For example, if you have `gcc-7` on Ubuntu,
 308 try to install `gcc-7-plugin-dev` package, it should help.
 309
 310 <br />
 311
 312 __Q:__ KSPP and CLIP OS recommend `CONFIG_PANIC_ON_OOPS=y`. Why doesn't this tool do the same?
 313
 314 __A:__ I personally don't support this recommendation because it provides easy denial-of-service
 315 attacks for the whole system (kernel oops is not a rare situation). I think having `CONFIG_BUG` is enough here --
 316 if we have a kernel oops in the process context, the offending/attacking process is killed.
 317
 318 <br />
 319
 320 __Q:__ What about performance impact of these security hardening options?
 321
 322 __A:__ Ike Devolder [@BlackIkeEagle][7] made some performance tests and described the results in [this article][8].
 323
 324 <br />
 325
 326 __Q:__ Why enabling `CONFIG_STATIC_USERMODEHELPER` breaks various things in my GNU/Linux system?
 327 Do I really need that feature?
 328
 329 __A:__ Linux kernel usermode helpers can be used for privilege escalation in kernel exploits
 330 ([example 1][9], [example 2][10]). `CONFIG_STATIC_USERMODEHELPER` prevents that method. But it
 331 requires the corresponding support in the userspace: see the [example implementation][11] by
 332 Tycho Andersen [@tych0][12].
 333
 334 <br />
 335
 336 __Q:__ Does my kernel have all those mitigations of Transient Execution Vulnerabilities in my hardware?
 337
 338 __A:__ Checking the kernel config is not enough to answer this question.
 339 I highly recommend using [spectre-meltdown-checker][13] tool maintained by Stéphane Lesimple [@speed47][14].
 340
 341
 342 [1]: http://kernsec.org/wiki/index.php/Kernel_Self_Protection_Project/Recommended_Settings
 343 [2]: https://docs.clip-os.org/clipos/kernel.html#configuration
 344 [3]: https://grsecurity.net/
 345 [4]: https://github.com/a13xp0p0v/linux-kernel-defence-map
 346 [5]: https://lwn.net/Articles/791863/
 347 [6]: https://github.com/a13xp0p0v/kconfig-hardened-check/issues/38
 348 [7]: https://github.com/BlackIkeEagle
 349 [8]: https://blog.herecura.eu/blog/2020-05-30-kconfig-hardening-tests/
 350 [9]: https://googleprojectzero.blogspot.com/2018/09/a-cache-invalidation-bug-in-linux.html
 351 [10]: https://a13xp0p0v.github.io/2020/02/15/CVE-2019-18683.html
 352 [11]: https://github.com/tych0/huldufolk
 353 [12]: https://github.com/tych0
 354 [13]: https://github.com/speed47/spectre-meltdown-checker
 355 [14]: https://github.com/speed47
 356 [15]: https://github.com/a13xp0p0v/kconfig-hardened-check/issues/53
 357 [16]: https://github.com/a13xp0p0v/kconfig-hardened-check/pull/54
 358 [17]: https://github.com/a13xp0p0v/kconfig-hardened-check/pull/62