README.md

   1 # Kconfig hardened check
   2
   3 ## Motivation
   4
   5 There are plenty of Linux kernel hardening config options. A lot of them are
   6 not enabled by the major distros. We have to enable these options ourselves to
   7 make our systems more secure.
   8
   9 But nobody likes checking configs manually. So let the computers do their job!
  10
  11 __kconfig-hardened-check.py__ helps me to check the Linux kernel Kconfig option list
  12 against my hardening preferences, which are based on the
  13
  14   - [KSPP recommended settings][1],
  15   - [CLIP OS kernel configuration][2],
  16   - last public [grsecurity][3] patch (options which they disable).
  17
  18 I also created [__Linux Kernel Defence Map__][4] that is a graphical representation of the
  19 relationships between these hardening features and the corresponding vulnerability classes
  20 or exploitation techniques.
  21
  22 ## Supported microarchitectures
  23
  24   - X86_64
  25   - X86_32
  26   - ARM64
  27   - ARM
  28
  29 ## Script output examples
  30
  31 ### Usage
  32 ```
  33 usage: kconfig-hardened-check.py [-h] [-p {X86_64,X86_32,ARM64,ARM}]
  34                                  [-c CONFIG] [--debug] [--json]
  35
  36 Checks the hardening options in the Linux kernel config
  37
  38 optional arguments:
  39   -h, --help            show this help message and exit
  40   -p {X86_64,X86_32,ARM64,ARM}, --print {X86_64,X86_32,ARM64,ARM}
  41                         print hardening preferences for selected architecture
  42   -c CONFIG, --config CONFIG
  43                         check the config_file against these preferences
  44   --debug               enable internal debug mode
  45   --json                print results in JSON format
  46
  47 ```
  48
  49 ### Script output for `Ubuntu 18.04 (Bionic Beaver with HWE)` kernel config
  50 ```
  51 $ ./kconfig-hardened-check.py -c config_files/distros/ubuntu-bionic-generic.config
  52 [+] Trying to detect architecture in "config_files/distros/ubuntu-bionic-generic.config"...
  53 [+] Detected architecture: X86_64
  54 [+] Checking "config_files/distros/ubuntu-bionic-generic.config" against hardening preferences...
  55                  option name                 | desired val | decision |       reason       |   check result
  56 =========================================================================================================================
  57 CONFIG_BUG                                   |      y      |defconfig |  self_protection   |   OK
  58 CONFIG_STRICT_KERNEL_RWX                     |      y      |defconfig |  self_protection   |   OK
  59 CONFIG_STACKPROTECTOR_STRONG                 |      y      |defconfig |  self_protection   |   OK
  60 CONFIG_SLUB_DEBUG                            |      y      |defconfig |  self_protection   |   OK
  61 CONFIG_STRICT_MODULE_RWX                     |      y      |defconfig |  self_protection   |   OK
  62 CONFIG_MICROCODE                             |      y      |defconfig |  self_protection   |   OK
  63 CONFIG_RETPOLINE                             |      y      |defconfig |  self_protection   |   OK
  64 CONFIG_X86_SMAP                              |      y      |defconfig |  self_protection   |   OK
  65 CONFIG_X86_UMIP                              |      y      |defconfig |  self_protection   |   OK: CONFIG_X86_INTEL_UMIP "y"
  66 CONFIG_IOMMU_SUPPORT                         |      y      |defconfig |  self_protection   |   OK
  67 CONFIG_SYN_COOKIES                           |      y      |defconfig |  self_protection   |   OK
  68 CONFIG_PAGE_TABLE_ISOLATION                  |      y      |defconfig |  self_protection   |   OK
  69 CONFIG_RANDOMIZE_MEMORY                      |      y      |defconfig |  self_protection   |   OK
  70 CONFIG_INTEL_IOMMU                           |      y      |defconfig |  self_protection   |   OK
  71 CONFIG_AMD_IOMMU                             |      y      |defconfig |  self_protection   |   OK
  72 CONFIG_VMAP_STACK                            |      y      |defconfig |  self_protection   |   OK
  73 CONFIG_RANDOMIZE_BASE                        |      y      |defconfig |  self_protection   |   OK
  74 CONFIG_THREAD_INFO_IN_TASK                   |      y      |defconfig |  self_protection   |   OK
  75 CONFIG_BUG_ON_DATA_CORRUPTION                |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  76 CONFIG_DEBUG_WX                              |      y      |   kspp   |  self_protection   |   OK
  77 CONFIG_SCHED_STACK_END_CHECK                 |      y      |   kspp   |  self_protection   |   OK
  78 CONFIG_SLAB_FREELIST_HARDENED                |      y      |   kspp   |  self_protection   |   OK
  79 CONFIG_SLAB_FREELIST_RANDOM                  |      y      |   kspp   |  self_protection   |   OK
  80 CONFIG_SHUFFLE_PAGE_ALLOCATOR                |      y      |   kspp   |  self_protection   |   OK
  81 CONFIG_FORTIFY_SOURCE                        |      y      |   kspp   |  self_protection   |   OK
  82 CONFIG_GCC_PLUGINS                           |      y      |   kspp   |  self_protection   |   FAIL: not found
  83 CONFIG_GCC_PLUGIN_RANDSTRUCT                 |      y      |   kspp   |  self_protection   |   FAIL: not found
  84 CONFIG_GCC_PLUGIN_LATENT_ENTROPY             |      y      |   kspp   |  self_protection   |   FAIL: not found
  85 CONFIG_DEBUG_LIST                            |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  86 CONFIG_DEBUG_SG                              |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  87 CONFIG_DEBUG_CREDENTIALS                     |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  88 CONFIG_DEBUG_NOTIFIERS                       |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  89 CONFIG_HARDENED_USERCOPY                     |      y      |   kspp   |  self_protection   |   OK
  90 CONFIG_HARDENED_USERCOPY_FALLBACK            | is not set  |   kspp   |  self_protection   |   FAIL: "y"
  91 CONFIG_MODULE_SIG                            |      y      |   kspp   |  self_protection   |   OK
  92 CONFIG_MODULE_SIG_ALL                        |      y      |   kspp   |  self_protection   |   OK
  93 CONFIG_MODULE_SIG_SHA512                     |      y      |   kspp   |  self_protection   |   OK
  94 CONFIG_MODULE_SIG_FORCE                      |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  95 CONFIG_DEFAULT_MMAP_MIN_ADDR                 |    65536    |   kspp   |  self_protection   |   OK
  96 CONFIG_REFCOUNT_FULL                         |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  97 CONFIG_INIT_STACK_ALL                        |      y      |  clipos  |  self_protection   |   FAIL: not found
  98 CONFIG_INIT_ON_ALLOC_DEFAULT_ON              |      y      |  clipos  |  self_protection   |   OK
  99 CONFIG_INIT_ON_FREE_DEFAULT_ON               |      y      |  clipos  |  self_protection   |   OK: CONFIG_PAGE_POISONING "y"
 100 CONFIG_SECURITY_DMESG_RESTRICT               |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 101 CONFIG_DEBUG_VIRTUAL                         |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 102 CONFIG_STATIC_USERMODEHELPER                 |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 103 CONFIG_SLAB_MERGE_DEFAULT                    | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 104 CONFIG_GCC_PLUGIN_RANDSTRUCT_PERFORMANCE     | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_RANDSTRUCT is needed
 105 CONFIG_GCC_PLUGIN_STACKLEAK                  |      y      |  clipos  |  self_protection   |   FAIL: not found
 106 CONFIG_STACKLEAK_METRICS                     | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_STACKLEAK is needed
 107 CONFIG_STACKLEAK_RUNTIME_DISABLE             | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_STACKLEAK is needed
 108 CONFIG_RANDOM_TRUST_CPU                      | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 109 CONFIG_INTEL_IOMMU_SVM                       |      y      |  clipos  |  self_protection   |   OK
 110 CONFIG_INTEL_IOMMU_DEFAULT_ON                |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 111 CONFIG_SLUB_DEBUG_ON                         |      y      |    my    |  self_protection   |   FAIL: "is not set"
 112 CONFIG_RESET_ATTACK_MITIGATION               |      y      |    my    |  self_protection   |   OK
 113 CONFIG_AMD_IOMMU_V2                          |      y      |    my    |  self_protection   |   FAIL: "m"
 114 CONFIG_SECURITY                              |      y      |defconfig |  security_policy   |   OK
 115 CONFIG_SECURITY_WRITABLE_HOOKS               | is not set  |defconfig |  security_policy   |   OK: not found
 116 CONFIG_SECURITY_YAMA                         |      y      |   kspp   |  security_policy   |   OK
 117 CONFIG_SECURITY_LOADPIN                      |      y      |    my    |  security_policy   |   FAIL: "is not set"
 118 CONFIG_SECURITY_LOCKDOWN_LSM                 |      y      |    my    |  security_policy   |   FAIL: not found
 119 CONFIG_SECURITY_LOCKDOWN_LSM_EARLY           |      y      |    my    |  security_policy   |   FAIL: not found
 120 CONFIG_LOCK_DOWN_KERNEL_FORCE_CONFIDENTIALITY|      y      |    my    |  security_policy   |   FAIL: not found
 121 CONFIG_SECURITY_SAFESETID                    |      y      |    my    |  security_policy   |   OK
 122 CONFIG_SECCOMP                               |      y      |defconfig | cut_attack_surface |   OK
 123 CONFIG_SECCOMP_FILTER                        |      y      |defconfig | cut_attack_surface |   OK
 124 CONFIG_STRICT_DEVMEM                         |      y      |defconfig | cut_attack_surface |   OK
 125 CONFIG_MODULES                               | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 126 CONFIG_DEVMEM                                | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 127 CONFIG_IO_STRICT_DEVMEM                      |      y      |   kspp   | cut_attack_surface |   FAIL: "is not set"
 128 CONFIG_ACPI_CUSTOM_METHOD                    | is not set  |   kspp   | cut_attack_surface |   OK
 129 CONFIG_COMPAT_BRK                            | is not set  |   kspp   | cut_attack_surface |   OK
 130 CONFIG_DEVKMEM                               | is not set  |   kspp   | cut_attack_surface |   OK
 131 CONFIG_COMPAT_VDSO                           | is not set  |   kspp   | cut_attack_surface |   OK
 132 CONFIG_BINFMT_MISC                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "m"
 133 CONFIG_INET_DIAG                             | is not set  |   kspp   | cut_attack_surface |   FAIL: "m"
 134 CONFIG_KEXEC                                 | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 135 CONFIG_PROC_KCORE                            | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 136 CONFIG_LEGACY_PTYS                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 137 CONFIG_HIBERNATION                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 138 CONFIG_LEGACY_VSYSCALL_NONE                  |      y      |   kspp   | cut_attack_surface |   FAIL: "is not set"
 139 CONFIG_IA32_EMULATION                        | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 140 CONFIG_X86_X32                               | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 141 CONFIG_MODIFY_LDT_SYSCALL                    | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 142 CONFIG_X86_PTDUMP                            | is not set  |grsecurity| cut_attack_surface |   OK
 143 CONFIG_ZSMALLOC_STAT                         | is not set  |grsecurity| cut_attack_surface |   OK
 144 CONFIG_PAGE_OWNER                            | is not set  |grsecurity| cut_attack_surface |   OK
 145 CONFIG_DEBUG_KMEMLEAK                        | is not set  |grsecurity| cut_attack_surface |   OK
 146 CONFIG_BINFMT_AOUT                           | is not set  |grsecurity| cut_attack_surface |   OK: not found
 147 CONFIG_KPROBES                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 148 CONFIG_UPROBES                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 149 CONFIG_GENERIC_TRACER                        | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 150 CONFIG_PROC_VMCORE                           | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 151 CONFIG_PROC_PAGE_MONITOR                     | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 152 CONFIG_USELIB                                | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 153 CONFIG_CHECKPOINT_RESTORE                    | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 154 CONFIG_USERFAULTFD                           | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 155 CONFIG_HWPOISON_INJECT                       | is not set  |grsecurity| cut_attack_surface |   FAIL: "m"
 156 CONFIG_MEM_SOFT_DIRTY                        | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 157 CONFIG_DEVPORT                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 158 CONFIG_DEBUG_FS                              | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 159 CONFIG_NOTIFIER_ERROR_INJECTION              | is not set  |grsecurity| cut_attack_surface |   FAIL: "m"
 160 CONFIG_ACPI_TABLE_UPGRADE                    | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 161 CONFIG_ACPI_APEI_EINJ                        | is not set  | lockdown | cut_attack_surface |   FAIL: "m"
 162 CONFIG_PROFILING                             | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 163 CONFIG_BPF_SYSCALL                           | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 164 CONFIG_MMIOTRACE_TEST                        | is not set  | lockdown | cut_attack_surface |   OK
 165 CONFIG_KSM                                   | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 166 CONFIG_KALLSYMS                              | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 167 CONFIG_X86_VSYSCALL_EMULATION                | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 168 CONFIG_MAGIC_SYSRQ                           | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 169 CONFIG_KEXEC_FILE                            | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 170 CONFIG_USER_NS                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 171 CONFIG_LDISC_AUTOLOAD                        | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 172 CONFIG_MMIOTRACE                             | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 173 CONFIG_LIVEPATCH                             | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 174 CONFIG_IP_DCCP                               | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 175 CONFIG_IP_SCTP                               | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 176 CONFIG_FTRACE                                | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 177 CONFIG_BPF_JIT                               | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 178 CONFIG_VIDEO_VIVID                           | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 179 CONFIG_ARCH_MMAP_RND_BITS                    |     32      |  clipos  |userspace_hardening |   FAIL: "28"
 180
 181 [+] config check is finished: 'OK' - 50 / 'FAIL' - 73
 182 ```
 183
 184 ## kconfig-hardened-check versioning
 185
 186 I usually update the kernel hardening recommendations after each Linux kernel release.
 187
 188 So the version of `kconfig-hardened-check` is associated with the corresponding version of the kernel.
 189
 190 The version format is: __[major_number].[kernel_version]__
 191
 192 The current version of `kconfig-hardened-check` is __0.5.3__, it's marked with the git tag.
 193
 194
 195 ## Questions and answers
 196
 197 __Q:__ How disabling `CONFIG_USER_NS` cuts the attack surface? It's needed for containers!
 198
 199 __A:__ Yes, the `CONFIG_USER_NS` option provides some isolation between the userspace programs,
 200 but the script recommends disabling it to cut the attack surface __of the kernel__.
 201
 202 The rationale:
 203
 204   - A nice LWN article about the corresponding LKML discussion: https://lwn.net/Articles/673597/
 205
 206   - A twitter thread about `CONFIG_USER_NS` and security: https://twitter.com/robertswiecki/status/1095447678949953541
 207
 208 <br />
 209
 210 __Q:__ Why `CONFIG_GCC_PLUGINS` is automatically disabled during the kernel compilation?
 211
 212 __A:__ It means that your gcc doesn't support plugins. For example, if you have `gcc-7` on Ubuntu,
 213 try to install `gcc-7-plugin-dev` package, it should help.
 214
 215 <br />
 216
 217 __Q:__ KSPP and CLIP OS recommend `CONFIG_PANIC_ON_OOPS=y`. Why doesn't this tool do the same?
 218
 219 __A:__ I personally don't support this recommendation because it provides easy denial-of-service
 220 attacks for the whole system (kernel oops is not a rare situation). I think having `CONFIG_BUG` is enough here --
 221 if we have a kernel oops in the process context, the offending/attacking process is killed.
 222
 223 [1]: http://kernsec.org/wiki/index.php/Kernel_Self_Protection_Project/Recommended_Settings
 224 [2]: https://docs.clip-os.org/clipos/kernel.html#configuration
 225 [3]: https://grsecurity.net/
 226 [4]: https://github.com/a13xp0p0v/linux-kernel-defence-map