README.md

   1 # kconfig-hardened-check
   2
   3 ![functional test](https://github.com/a13xp0p0v/kconfig-hardened-check/workflows/functional%20test/badge.svg)
   4
   5 ## Motivation
   6
   7 There are plenty of Linux kernel hardening config options. A lot of them are
   8 not enabled by the major distros. We have to enable these options ourselves to
   9 make our systems more secure.
  10
  11 But nobody likes checking configs manually. So let the computers do their job!
  12
  13 __kconfig-hardened-check.py__ helps me to check the Linux kernel Kconfig option list
  14 against my hardening preferences, which are based on the
  15
  16   - [KSPP recommended settings][1],
  17   - [CLIP OS kernel configuration][2],
  18   - last public [grsecurity][3] patch (options which they disable).
  19
  20 I also created [__Linux Kernel Defence Map__][4] that is a graphical representation of the
  21 relationships between these hardening features and the corresponding vulnerability classes
  22 or exploitation techniques.
  23
  24 ## Supported microarchitectures
  25
  26   - X86_64
  27   - X86_32
  28   - ARM64
  29   - ARM
  30
  31 ## Installation
  32
  33 You can install the package:
  34
  35 ```
  36 pip install git+https://github.com/a13xp0p0v/kconfig-hardened-check
  37 ```
  38
  39 or simply run `./bin/kconfig-hardened-check` from the cloned repository.
  40
  41 ## Usage
  42 ```
  43 usage: kconfig-hardened-check [-h] [-p {X86_64,X86_32,ARM64,ARM}] [-c CONFIG]
  44                               [--debug] [--json]
  45
  46 Checks the hardening options in the Linux kernel config
  47
  48 optional arguments:
  49   -h, --help            show this help message and exit
  50   -p {X86_64,X86_32,ARM64,ARM}, --print {X86_64,X86_32,ARM64,ARM}
  51                         print hardening preferences for selected architecture
  52   -c CONFIG, --config CONFIG
  53                         check the config_file against these preferences
  54   --debug               enable verbose debug mode
  55   --json                print results in JSON format
  56 ```
  57
  58 ## Output for `Ubuntu 18.04 (Bionic Beaver with HWE)` kernel config
  59 ```
  60 $ ./bin/kconfig-hardened-check -c kconfig_hardened_check/config_files/distros/ubuntu-bionic-generic.config
  61 [+] Trying to detect architecture in "kconfig_hardened_check/config_files/distros/ubuntu-bionic-generic.config"...
  62 [+] Detected architecture: X86_64
  63 [+] Trying to detect kernel version in "kconfig_hardened_check/config_files/distros/ubuntu-bionic-generic.config"...
  64 [+] Found version line: "# Linux/x86 5.3.0-28-generic Kernel Configuration"
  65 [+] Detected kernel version: 5.3
  66 [+] Checking "kconfig_hardened_check/config_files/distros/ubuntu-bionic-generic.config" against X86_64 hardening preferences...
  67 =========================================================================================================================
  68                  option name                 | desired val | decision |       reason       |   check result
  69 =========================================================================================================================
  70 CONFIG_BUG                                   |      y      |defconfig |  self_protection   |   OK
  71 CONFIG_STRICT_KERNEL_RWX                     |      y      |defconfig |  self_protection   |   OK
  72 CONFIG_STACKPROTECTOR_STRONG                 |      y      |defconfig |  self_protection   |   OK
  73 CONFIG_SLUB_DEBUG                            |      y      |defconfig |  self_protection   |   OK
  74 CONFIG_STRICT_MODULE_RWX                     |      y      |defconfig |  self_protection   |   OK
  75 CONFIG_GCC_PLUGINS                           |      y      |defconfig |  self_protection   |   FAIL: not found
  76 CONFIG_REFCOUNT_FULL                         |      y      |defconfig |  self_protection   |   FAIL: "is not set"
  77 CONFIG_IOMMU_SUPPORT                         |      y      |defconfig |  self_protection   |   OK
  78 CONFIG_MICROCODE                             |      y      |defconfig |  self_protection   |   OK
  79 CONFIG_RETPOLINE                             |      y      |defconfig |  self_protection   |   OK
  80 CONFIG_X86_SMAP                              |      y      |defconfig |  self_protection   |   OK
  81 CONFIG_X86_UMIP                              |      y      |defconfig |  self_protection   |   OK: CONFIG_X86_INTEL_UMIP "y"
  82 CONFIG_SYN_COOKIES                           |      y      |defconfig |  self_protection   |   OK
  83 CONFIG_PAGE_TABLE_ISOLATION                  |      y      |defconfig |  self_protection   |   OK
  84 CONFIG_RANDOMIZE_MEMORY                      |      y      |defconfig |  self_protection   |   OK
  85 CONFIG_INTEL_IOMMU                           |      y      |defconfig |  self_protection   |   OK
  86 CONFIG_AMD_IOMMU                             |      y      |defconfig |  self_protection   |   OK
  87 CONFIG_VMAP_STACK                            |      y      |defconfig |  self_protection   |   OK
  88 CONFIG_RANDOMIZE_BASE                        |      y      |defconfig |  self_protection   |   OK
  89 CONFIG_THREAD_INFO_IN_TASK                   |      y      |defconfig |  self_protection   |   OK
  90 CONFIG_BUG_ON_DATA_CORRUPTION                |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  91 CONFIG_DEBUG_WX                              |      y      |   kspp   |  self_protection   |   OK
  92 CONFIG_SCHED_STACK_END_CHECK                 |      y      |   kspp   |  self_protection   |   OK
  93 CONFIG_SLAB_FREELIST_HARDENED                |      y      |   kspp   |  self_protection   |   OK
  94 CONFIG_SLAB_FREELIST_RANDOM                  |      y      |   kspp   |  self_protection   |   OK
  95 CONFIG_SHUFFLE_PAGE_ALLOCATOR                |      y      |   kspp   |  self_protection   |   OK
  96 CONFIG_FORTIFY_SOURCE                        |      y      |   kspp   |  self_protection   |   OK
  97 CONFIG_GCC_PLUGIN_RANDSTRUCT                 |      y      |   kspp   |  self_protection   |   FAIL: not found
  98 CONFIG_GCC_PLUGIN_LATENT_ENTROPY             |      y      |   kspp   |  self_protection   |   FAIL: not found
  99 CONFIG_DEBUG_LIST                            |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 100 CONFIG_DEBUG_SG                              |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 101 CONFIG_DEBUG_CREDENTIALS                     |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 102 CONFIG_DEBUG_NOTIFIERS                       |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 103 CONFIG_HARDENED_USERCOPY                     |      y      |   kspp   |  self_protection   |   OK
 104 CONFIG_HARDENED_USERCOPY_FALLBACK            | is not set  |   kspp   |  self_protection   |   FAIL: "y"
 105 CONFIG_MODULE_SIG                            |      y      |   kspp   |  self_protection   |   OK
 106 CONFIG_MODULE_SIG_ALL                        |      y      |   kspp   |  self_protection   |   OK
 107 CONFIG_MODULE_SIG_SHA512                     |      y      |   kspp   |  self_protection   |   OK
 108 CONFIG_MODULE_SIG_FORCE                      |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 109 CONFIG_INIT_STACK_ALL                        |      y      |   kspp   |  self_protection   |   FAIL: not found
 110 CONFIG_INIT_ON_ALLOC_DEFAULT_ON              |      y      |   kspp   |  self_protection   |   OK
 111 CONFIG_INIT_ON_FREE_DEFAULT_ON               |      y      |   kspp   |  self_protection   |   OK: CONFIG_PAGE_POISONING "y"
 112 CONFIG_GCC_PLUGIN_STACKLEAK                  |      y      |   kspp   |  self_protection   |   FAIL: not found
 113 CONFIG_STACKLEAK_METRICS                     | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_STACKLEAK is needed
 114 CONFIG_STACKLEAK_RUNTIME_DISABLE             | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_STACKLEAK is needed
 115 CONFIG_DEFAULT_MMAP_MIN_ADDR                 |    65536    |   kspp   |  self_protection   |   OK
 116 CONFIG_SECURITY_DMESG_RESTRICT               |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 117 CONFIG_DEBUG_VIRTUAL                         |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 118 CONFIG_STATIC_USERMODEHELPER                 |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 119 CONFIG_SLAB_MERGE_DEFAULT                    | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 120 CONFIG_GCC_PLUGIN_RANDSTRUCT_PERFORMANCE     | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_RANDSTRUCT is needed
 121 CONFIG_RANDOM_TRUST_BOOTLOADER               | is not set  |  clipos  |  self_protection   |   OK: not found
 122 CONFIG_RANDOM_TRUST_CPU                      | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 123 CONFIG_INTEL_IOMMU_SVM                       |      y      |  clipos  |  self_protection   |   OK
 124 CONFIG_INTEL_IOMMU_DEFAULT_ON                |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 125 CONFIG_SLUB_DEBUG_ON                         |      y      |    my    |  self_protection   |   FAIL: "is not set"
 126 CONFIG_RESET_ATTACK_MITIGATION               |      y      |    my    |  self_protection   |   OK
 127 CONFIG_AMD_IOMMU_V2                          |      y      |    my    |  self_protection   |   FAIL: "m"
 128 CONFIG_SECURITY                              |      y      |defconfig |  security_policy   |   OK
 129 CONFIG_SECURITY_YAMA                         |      y      |   kspp   |  security_policy   |   OK
 130 CONFIG_SECURITY_WRITABLE_HOOKS               | is not set  |    my    |  security_policy   |   OK: not found
 131 CONFIG_SECURITY_LOCKDOWN_LSM                 |      y      |  clipos  |  security_policy   |   FAIL: not found
 132 CONFIG_SECURITY_LOCKDOWN_LSM_EARLY           |      y      |  clipos  |  security_policy   |   FAIL: not found
 133 CONFIG_LOCK_DOWN_KERNEL_FORCE_CONFIDENTIALITY|      y      |  clipos  |  security_policy   |   FAIL: not found
 134 CONFIG_SECURITY_LOADPIN                      |      y      |    my    |  security_policy   |   FAIL: "is not set"
 135 CONFIG_SECURITY_LOADPIN_ENFORCE              |      y      |    my    |  security_policy   |   FAIL: CONFIG_SECURITY_LOADPIN is needed
 136 CONFIG_SECURITY_SAFESETID                    |      y      |    my    |  security_policy   |   OK
 137 CONFIG_SECCOMP                               |      y      |defconfig | cut_attack_surface |   OK
 138 CONFIG_SECCOMP_FILTER                        |      y      |defconfig | cut_attack_surface |   OK
 139 CONFIG_STRICT_DEVMEM                         |      y      |defconfig | cut_attack_surface |   OK
 140 CONFIG_MODULES                               | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 141 CONFIG_DEVMEM                                | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 142 CONFIG_IO_STRICT_DEVMEM                      |      y      |   kspp   | cut_attack_surface |   FAIL: "is not set"
 143 CONFIG_LEGACY_VSYSCALL_NONE                  |      y      |   kspp   | cut_attack_surface |   FAIL: "is not set"
 144 CONFIG_ACPI_CUSTOM_METHOD                    | is not set  |   kspp   | cut_attack_surface |   OK
 145 CONFIG_COMPAT_BRK                            | is not set  |   kspp   | cut_attack_surface |   OK
 146 CONFIG_DEVKMEM                               | is not set  |   kspp   | cut_attack_surface |   OK
 147 CONFIG_COMPAT_VDSO                           | is not set  |   kspp   | cut_attack_surface |   OK
 148 CONFIG_BINFMT_MISC                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "m"
 149 CONFIG_INET_DIAG                             | is not set  |   kspp   | cut_attack_surface |   FAIL: "m"
 150 CONFIG_KEXEC                                 | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 151 CONFIG_PROC_KCORE                            | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 152 CONFIG_LEGACY_PTYS                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 153 CONFIG_HIBERNATION                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 154 CONFIG_IA32_EMULATION                        | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 155 CONFIG_X86_X32                               | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 156 CONFIG_MODIFY_LDT_SYSCALL                    | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 157 CONFIG_OABI_COMPAT                           | is not set  |   kspp   | cut_attack_surface |   OK: not found
 158 CONFIG_X86_PTDUMP                            | is not set  |grsecurity| cut_attack_surface |   OK
 159 CONFIG_ZSMALLOC_STAT                         | is not set  |grsecurity| cut_attack_surface |   OK
 160 CONFIG_PAGE_OWNER                            | is not set  |grsecurity| cut_attack_surface |   OK
 161 CONFIG_DEBUG_KMEMLEAK                        | is not set  |grsecurity| cut_attack_surface |   OK
 162 CONFIG_BINFMT_AOUT                           | is not set  |grsecurity| cut_attack_surface |   OK: not found
 163 CONFIG_KPROBES                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 164 CONFIG_UPROBES                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 165 CONFIG_GENERIC_TRACER                        | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 166 CONFIG_PROC_VMCORE                           | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 167 CONFIG_PROC_PAGE_MONITOR                     | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 168 CONFIG_USELIB                                | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 169 CONFIG_CHECKPOINT_RESTORE                    | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 170 CONFIG_USERFAULTFD                           | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 171 CONFIG_HWPOISON_INJECT                       | is not set  |grsecurity| cut_attack_surface |   FAIL: "m"
 172 CONFIG_MEM_SOFT_DIRTY                        | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 173 CONFIG_DEVPORT                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 174 CONFIG_DEBUG_FS                              | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 175 CONFIG_NOTIFIER_ERROR_INJECTION              | is not set  |grsecurity| cut_attack_surface |   FAIL: "m"
 176 CONFIG_ACPI_TABLE_UPGRADE                    | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 177 CONFIG_X86_IOPL_IOPERM                       | is not set  | lockdown | cut_attack_surface |   OK: not found
 178 CONFIG_EFI_TEST                              | is not set  | lockdown | cut_attack_surface |   FAIL: "m"
 179 CONFIG_BPF_SYSCALL                           | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 180 CONFIG_MMIOTRACE_TEST                        | is not set  | lockdown | cut_attack_surface |   OK
 181 CONFIG_X86_INTEL_TSX_MODE_OFF                |      y      |  clipos  | cut_attack_surface |   OK
 182 CONFIG_STAGING                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 183 CONFIG_KSM                                   | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 184 CONFIG_KALLSYMS                              | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 185 CONFIG_X86_VSYSCALL_EMULATION                | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 186 CONFIG_MAGIC_SYSRQ                           | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 187 CONFIG_KEXEC_FILE                            | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 188 CONFIG_USER_NS                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 189 CONFIG_X86_MSR                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "m"
 190 CONFIG_X86_CPUID                             | is not set  |  clipos  | cut_attack_surface |   FAIL: "m"
 191 CONFIG_LDISC_AUTOLOAD                        | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 192 CONFIG_AIO                                   | is not set  |grapheneos| cut_attack_surface |   FAIL: "y"
 193 CONFIG_MMIOTRACE                             | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 194 CONFIG_LIVEPATCH                             | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 195 CONFIG_IP_DCCP                               | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 196 CONFIG_IP_SCTP                               | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 197 CONFIG_FTRACE                                | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 198 CONFIG_BPF_JIT                               | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 199 CONFIG_VIDEO_VIVID                           | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 200 CONFIG_INTEGRITY                             |      y      |defconfig |userspace_hardening |   OK
 201 CONFIG_ARCH_MMAP_RND_BITS                    |     32      |  clipos  |userspace_hardening |   FAIL: "28"
 202
 203 [+] config check is finished: 'OK' - 55 / 'FAIL' - 77
 204 ```
 205
 206 ## kconfig-hardened-check versioning
 207
 208 I usually update the kernel hardening recommendations after each Linux kernel release.
 209
 210 So the version of `kconfig-hardened-check` is associated with the corresponding version of the kernel.
 211
 212 The version format is: __[major_number].[kernel_version]__
 213
 214 The current version of `kconfig-hardened-check` is __0.5.5__, it's marked with the git tag.
 215
 216
 217 ## Questions and answers
 218
 219 __Q:__ How disabling `CONFIG_USER_NS` cuts the attack surface? It's needed for containers!
 220
 221 __A:__ Yes, the `CONFIG_USER_NS` option provides some isolation between the userspace programs,
 222 but the tool recommends disabling it to cut the attack surface __of the kernel__.
 223
 224 The rationale:
 225
 226   - A nice LWN article about the corresponding LKML discussion: https://lwn.net/Articles/673597/
 227
 228   - A twitter thread about `CONFIG_USER_NS` and security: https://twitter.com/robertswiecki/status/1095447678949953541
 229
 230 <br />
 231
 232 __Q:__ Why `CONFIG_GCC_PLUGINS` is automatically disabled during the kernel compilation?
 233
 234 __A:__ It means that your gcc doesn't support plugins. For example, if you have `gcc-7` on Ubuntu,
 235 try to install `gcc-7-plugin-dev` package, it should help.
 236
 237 <br />
 238
 239 __Q:__ KSPP and CLIP OS recommend `CONFIG_PANIC_ON_OOPS=y`. Why doesn't this tool do the same?
 240
 241 __A:__ I personally don't support this recommendation because it provides easy denial-of-service
 242 attacks for the whole system (kernel oops is not a rare situation). I think having `CONFIG_BUG` is enough here --
 243 if we have a kernel oops in the process context, the offending/attacking process is killed.
 244
 245 [1]: http://kernsec.org/wiki/index.php/Kernel_Self_Protection_Project/Recommended_Settings
 246 [2]: https://docs.clip-os.org/clipos/kernel.html#configuration
 247 [3]: https://grsecurity.net/
 248 [4]: https://github.com/a13xp0p0v/linux-kernel-defence-map