-def construct_opt_checks():
- checklist.append(OptCheck('BUG', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('PAGE_TABLE_ISOLATION', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('RETPOLINE', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('X86_64', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('STRICT_KERNEL_RWX', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('STRICT_MODULE_RWX', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('DEBUG_WX', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('RANDOMIZE_BASE', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('RANDOMIZE_MEMORY', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('CC_STACKPROTECTOR', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('CC_STACKPROTECTOR_STRONG','y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('VMAP_STACK', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('THREAD_INFO_IN_TASK', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('SCHED_STACK_END_CHECK', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('SLUB_DEBUG', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('SLAB_FREELIST_HARDENED', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('SLAB_FREELIST_RANDOM', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('HARDENED_USERCOPY', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('FORTIFY_SOURCE', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('MODULE_SIG', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('MODULE_SIG_ALL', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('MODULE_SIG_SHA512', 'y', 'ubuntu18', 'self_protection'))
- checklist.append(OptCheck('SYN_COOKIES', 'y', 'ubuntu18', 'self_protection')) # another reason?
- checklist.append(OptCheck('DEFAULT_MMAP_MIN_ADDR', '65536', 'ubuntu18', 'self_protection'))
+def construct_checklist():
+ modules_not_set = OptCheck('MODULES', 'is not set', 'kspp', 'cut_attack_surface')
+ devmem_not_set = OptCheck('DEVMEM', 'is not set', 'kspp', 'cut_attack_surface') # refers to LOCK_DOWN_KERNEL
+
+ checklist.append(OptCheck('BUG', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('PAGE_TABLE_ISOLATION', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('RETPOLINE', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('X86_64', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OR(OptCheck('STRICT_KERNEL_RWX', 'y', 'ubuntu18', 'self_protection'), \
+ OptCheck('DEBUG_RODATA', 'y', 'before_v4.11', 'self_protection')))
+ checklist.append(OptCheck('DEBUG_WX', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('RANDOMIZE_BASE', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('RANDOMIZE_MEMORY', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OR(OptCheck('STACKPROTECTOR_STRONG', 'y', 'ubuntu18', 'self_protection'), \
+ OptCheck('CC_STACKPROTECTOR_STRONG', 'y', 'ubuntu18', 'self_protection')))
+ checklist.append(OptCheck('VMAP_STACK', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('THREAD_INFO_IN_TASK', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('SCHED_STACK_END_CHECK', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('SLUB_DEBUG', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('SLAB_FREELIST_HARDENED', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('SLAB_FREELIST_RANDOM', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('HARDENED_USERCOPY', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('FORTIFY_SOURCE', 'y', 'ubuntu18', 'self_protection'))
+ checklist.append(OptCheck('LOCK_DOWN_KERNEL', 'y', 'ubuntu18', 'self_protection')) # remember about LOCK_DOWN_MANDATORY
+ checklist.append(OR(OptCheck('STRICT_MODULE_RWX', 'y', 'ubuntu18', 'self_protection'), \
+ OptCheck('DEBUG_SET_MODULE_RONX', 'y', 'before_v4.11', 'self_protection'), \
+ modules_not_set))
+ checklist.append(OR(OptCheck('MODULE_SIG', 'y', 'ubuntu18', 'self_protection'), \
+ modules_not_set))
+ checklist.append(OR(OptCheck('MODULE_SIG_ALL', 'y', 'ubuntu18', 'self_protection'), \
+ modules_not_set))
+ checklist.append(OR(OptCheck('MODULE_SIG_SHA512', 'y', 'ubuntu18', 'self_protection'), \
+ modules_not_set))
+ checklist.append(OptCheck('SYN_COOKIES', 'y', 'ubuntu18', 'self_protection')) # another reason?
+ checklist.append(OptCheck('DEFAULT_MMAP_MIN_ADDR', '65536', 'ubuntu18', 'self_protection'))