More info on init_on_free and init_on_alloc

SLUB_DEBUG_ON is very slow, leave it for the kernel command line

Update KSPP recommendations

Add defconfigs for v5.10

Made with updated https://github.com/a13xp0p0v/kernel-build-containers

Excellent!

HARDEN_BRANCH_PREDICTOR for ARM64 is enabled by default since v5.10

Add ARM64_MTE for userspace

Maybe SHADOW_CALL_STACK should be alternative to STACKPROTECTOR_STRONG

Save 'debugfs=no-mount' for future

Update the README.

Ready for the release 0.5.9.

Fix indentation (thanks to pylint)

Add a Q&A about spectre-meltdown-checker maintained by @speed47

INIT_STACK_ALL -> INIT_STACK_ALL_ZERO (was renamed)

Add SHADOW_CALL_STACK for ARM64

Add the recommendation about TRIM_UNUSED_KSYMS

Add ARM64_BTI_KERNEL

Add the recommendation about UBSAN_BOUNDS

Enable UBSAN_BOUNDS and UBSAN_TRAP.
But keep UBSAN_MISC disabled to avoid useless reports.

PAGE_POISONING -> PAGE_POISONING_ZERO

In fact, KSPP recommends PAGE_POISONING_ZERO.

Improve AND check reports

Improve HARDEN_EL2_VECTORS check

In fact HARDEN_EL2_VECTORS was included in RANDOMIZE_BASE in v5.9.
Use new nested ComplexOptChecks for this rule.

Refers to #48.

Merge remote-tracking branch 'pgils/el2_vectors'

Thanks, @pgils.

Refers to #48.

Add nested ComplexOptChecks support

Now we can do things like OR(opt1, AND(opt2, opt3)).
Cool!

Refers to #48

Do not check CONFIG_HARDEN_EL2_VECTORS for v5.9+

Add TODO about SLUB_DEBUG_ON

Add CLIP OS recommendation about EFI_CUSTOM_SSDT_OVERLAYS

Disabling ACPI_TABLE_UPGRADE is now recommended by CLIP OS

Withdraw my recommendation about BPF_JIT

CLIP OS wiki and Kees say that BPF interpreter is worse for the kernel
security than BPF_JIT.

So for now I withdraw my recommendation about BPF_JIT.

N.B. LOCKDOWN disables BPF_SYSCALL, but not BPF_JIT.

Use cross compiler to build defconfigs

Add defconfigs for Linux kernel v5.9

Update the README

Ready for release 0.5.7

Fix relevant pylint warnings

Fix 'decision' priority order ('lockdown' vs 'clipos' vs 'grapheneos')

Add CLIP OS recommendations about CONFIG_IO_URING and CONFIG_X86_IOPL_IOPERM

CONFIG_X86_IOPL_IOPERM is also disabled by kernel lockdown

Add CONFIG_EFI_DISABLE_PCI_DMA recommended by CLIP OS

Fix 'decision' -- CONFIG_INTEGRITY is not enabled by default on ARM

Add defconfigs for Linux kernel v5.7

Take new AND use case for X86_PTDUMP / PTDUMP_DEBUGFS

Improve ComplexOptCheck use cases

Add 'show_ok' and 'show_fail' print modes

Refers the issue #45

Declare variables closer to their usage

Get rid of 'kernel_version' global variable

(done while solving the issue #45)

Big rework of the report modes

Let's fold the alternative options --debug and --json into --mode parameter:
  -m {verbose,json}, --mode {verbose,json}
   choose the report mode

That also allows to get rid of 'debug_mode' and 'json_mode' globals.

This work is a prerequisite of solving the issue #45.

Add another link about user namespaces to Q&A

Add ARM64_PAN

Use += instead of append() for checklist

Reorder some checking rules for better looking code

Change the order of arguments in OptCheck constructor

That makes the code style much better.

Side note: I was thinking a lot about storing the checking rules
separately in some file format. Finally I decided not to do that because:
 - I want avoid additional parsing (these rules are static anyway);
 - the rules include a lot of special cases and exceptions, which
don't look pretty in any format.

Drop unused 'state' property from ComplexOptCheck

Don't return self.result in check() method -- it's not used

ARM64_PTR_AUTH is now supported for the kernel (from v5.7)

Add the link to huldufolk project by @tych0

Add the link to @BlackIkeEagle article

Merge branch 'ubuntu20'

Thanks @HacKurx.

Upgrading to Ubuntu 20.04 kernel config

CONFIG_RANDOM_TRUST_BOOTLOADER = FAIL: "y"
CONFIG_SECURITY_LOCKDOWN_LSM = OK
CONFIG_SECURITY_LOCKDOWN_LSM_EARLY = OK
CONFIG_LOCK_DOWN_KERNEL_FORCE_CONFIDENTIALITY = FAIL: "is not set"

Merge branch 'evbug'

Thanks @HacKurx

Merge branch 'pylint'

Thanks @shamilbi

Updating the number of failures in the README

Add CONFIG_INPUT_EVBUG

The "evbug" module records key events and mouse movements in the system log.
Useful for debugging, this is a security threat, its use can be hijacked as a keylogger.

An attacker will be able to retrieve your passwords using this module.

pylint some code

Improve versioning

Add DRM_LEGACY, FB, and VT checks

Thanks to:
 - Dmitry Vyukov @dvyukov for the idea
 - Daniel Vetter @danvet for the knowledge

Implement PresenceCheck and use it for LDISC_AUTOLOAD

Refers to #32

Fix ComplexOptCheck result printing

Newline should be printed by print_checklist() that prints the table

Add more tests to increase coverage - IV

Create polymorphism for printing, add table_print() method for each class

That makes print_checklist() much better.

Revisit special behavior in checking and printing that depends on the class

Rename some workflow steps

Add more tests to increase coverage - III

Add more tests to increase coverage - II

Add more tests to increase coverage - I

Collect coverage

Count checked configs

Check all configs automatically

Revisit return values

Create the github workflow for functional tests

Fix the shebang to allow `./get-nix-kconfig.py`

Thanks to @Mic92

Refers to #27

Add NixOS hardened kernel config

Fix typo in README

Add vim swp files to gitignore

Merge branch 'nix'

Refers to #27

add script to download linux kernel configs from nix

add gitignore

add default.nix for installation via nix

Allows installation via nix from the repository itself
on NixOS and other Linux distribution that have Nix (i.e. Archlinux/Debian).

```
$ nix-build
$ ./result/bin/kconfig-hardened-check
$ nix-env -f . -i
```

It also provides an development environment for `nix-shell` with setuptools and
python in path

```
$ nix-shell
```

Update the README (describing installation)

Add a wrapper for using the tool without installation via setuptools

Enable distribution via pip/setuptools

Thanks to @Mic92 for the proof-of-concept

Refers to #26

Call it a tool

Uh, setuptools doesn't like package names that contain dash

Add main() and clean up working with globals

Rename to kconfig-hardened-check/__init__.py

Move files to kconfig-hardened-check folder

Rename LICENSE file

Version 0.5.5 (supports Linux kernel v5.5)

Update the README

CLIP OS recommends disabling Intel TSX

Small syctl cleanup

Merge pull request #34 from madaidan/grapheneos

GrapheneOS is the continuation of CopperheadOS

GrapheneOS is the continuation of CopperheadOS

CopperheadOS disables the kernel's CONFIG_AIO feature

It isn't used or exposed by the base system and is a dubious feature.
It performs no better than thread pools and it can still block, along
with having coverage of only a tiny portion of blocking system calls
even when considering only commonly used system calls for IO.
There are no known compatibility issues caused by having this disabled.
Since this is such a dubious niche feature, it's also very poorly tested
and it doesn't get much attention. Proposed improvements have been blocked
based on the concern that POSIX AIO is such a bad interface that trying
to improve/extend it would be harmful. Following the lead of CopperheadOS
on this front has been proposed and accepted upstream for the recommended
Android kernel configuration used to derive device specific configurations.

https://github.com/AndroidHardeningArchive/documentation/blob/master/technical_overview.md#attack-surface-reduction

KSPP now recommends PAGE_TABLE_ISOLATION for X86_32