Move print_unknown_options() to engine.py

That is better for specifying typing.

Add more precise typing for OrderedDict

Add more typing annotations to checks.py

Annotate all functions to enable mypy checking for them.

Make the static typing work for Python v3.8

Kind of hackish :)

Fix mypy typing warnings in __init__.py

Add more typing annotations to __init__.py

Annotate all functions to enable mypy checking for them.

Fix pylint warnings in _open

Fix mypy warning in _open()

kernel_hardening_checker/__init__.py:28: error: Incompatible types in assignment (expression has type overloaded function, variable has type overloaded function)  [assignment]

Refactor the _open function to fix this and add the type hint by the way.

Fix mypy warning in json_dump()

kernel_hardening_checker/engine.py:119: error: "None" has no attribute "startswith"  [attr-defined]

The `json_dump()` function printing the results should not be called
for the OptCheck and ComplexOptCheck objects with empty results.

Merge branch 'master' into typing

CI: Don't run the tests with coverage control for pull requests

Refers to #126

CI: Add a functional test without collecting coverage (tired of codecov failures)

CI: Fix the name of engine_unit-test_no_coverage (II)

CI: Fix the name of engine_unit-test_no_coverage

CI: Add a unit-test without collecting coverage (tired of codecov failures)

Merge branch 'skip_sysctl'

Refers to #125.

Thanks for the collaboration, @cotequeiroz

Style fixes, should be no functional changes

Fix the reason and decision of the KEXEC_CORE check

KSPP doesn't recommend to disable it.

Refers to #125

Fix the reason and decision of the BPF_JIT check

KSPP doesn't recommend to disable it.

Refers to #125

Restore the `dev.tty.legacy_tiocsti` check

The kernel documentations says:
```
Historically the kernel has allowed TIOCSTI, which will push
characters into a controlling TTY. This continues to be used
as a malicious privilege escalation mechanism, and provides no
meaningful real-world utility any more. Its use is considered
a dangerous legacy operation, and can be disabled on most
systems.
```
https://elixir.bootlin.com/linux/v6.8.8/source/drivers/tty/Kconfig#L152

In other words, not having the `dev.tty.legacy_tiocsti` sysctl means that
the dangerous functionality is enabled by default.

Use CONFIG_LOCALVERSION instead of CONFIG_DEFAULT_INIT since it's older

skip kernel.modules_disabled if MODULES not set

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Skip unprivileged_userfaultfd if USERFAULTFD unset

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Don't fail if dev.tty.legacy_tiocsti not found

The sysctl is available for Kernel 6.2 and later only.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Skip unprivileged_bpf_disabled if BPF_SYSCALL not set

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Skip kexec_load_disabled if KEXEC_CORE is not set

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Skip bpf_jit_harden sysctl if BPF_JIT is not set

Also, switch the test for root sysctl to the 'kernel.cad_pid' symbol.

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Merge branch 'cpu_depend'

Thanks, @cotequeiroz.

Refers to #123

Add some lightweight typing

Fix the reason and decision for CPU_SUP_INTEL

Style fixes

Skip CPU-dependent checks if CPU is not supported

Signed-off-by: Eneas U de Queiroz <cotequeiroz@gmail.com>

Like grep, colorize the output only if stdout is connected to a terminal

Nice.
With this, if you redirect the output of kernel-hardening-checker to a file,
it doesn't contain the ANSI escape sequences for colorizing.

Don't use the `type` name for the class methods

There should be no functional changes

Add the BLK_DEV_WRITE_MOUNTED/bdev_allow_write_mounted check

And fix the check order by the way.

Thanks to @izh1979 for the idea

CI: codecov-action@v3.1.5 with token doesn't work well, go to v4 (facepalm)

CI: Return to codecov-action@v3.1.5, but with tokens

codecov-action@v4 is unstable and sometimes gives the error:
```
Codecov: Failed to properly create commit: The process '/home/runner/work/_actions/codecov/codecov-action/v4/dist/codecov' failed with exit code 1
```

CI: Update python versions

Add the links to the corresponding codecov pages in the README badges

CI: Move to codecov-action@4

Again, trying to fix the error
```
Codecov: Failed to properly upload: The process '/home/runner/work/_actions/codecov/codecov-action/v3/dist/codecov' failed with exit code 255
```
https://github.com/codecov/codecov-action/issues/598

CI: Move to codecov-action@v3.1.5

Trying to fix the error
```
Codecov: Failed to properly upload: The process '/home/runner/work/_actions/codecov/codecov-action/v3/dist/codecov' failed with exit code 255
```
https://github.com/codecov/codecov-action/issues/598

Merge branch 'shstk'

Refers to #114, #120

Thanks, @jvoisin.

Fix 'decision' for the X86_USER_SHADOW_STACK check

Refers to #114, #120

Add a check for X86_USER_SHADOW_STACK

This should close #114

Add a comment that 'user.max_user_namespaces=0' may break the upower daemon

Update the README

Improve the CONFIG_CFI_CLANG checks (add the CONFIG_CC_IS_CLANG dependency)

Refers to #102

Drop the GCC_PLUGINS check (checking CC_IS_GCC is enough)

Refers to #102

Add the CONFIG_CC_IS_GCC dependency for gcc plugins

Refers to #102

Don't require GCC_PLUGINS separately

It's auxiliary for building with gcc and it's not needed for building with
clang.

Refers to #102

Rename the 'my' check decision to 'a13xp0p0v'

'my' checks look like the checks created by a user of the tool.
Let's fix that and take the responsibility :)

Refers to #50

Make the table column names and JSON field names fit each other

Refers to #108, #115

Merge remote-tracking branch 'krishjainx/improve-json-output'

Refers to #108, #115

update

fix issues

Fix tests to work with new JSON schema

Improve JSON output format for enhanced processing

Improve the DEBUG_CREDENTIALS check

Useful DEBUG_CREDENTIALS was dropped in v6.6.8

Refers to #97

Fix the false result of the REFCOUNT_FULL check for kernels > v5.4.208

Refers to #88, #89

Have to revert codecov back to v3

Details about the error:
https://github.com/codecov/codecov-action/issues/1292

Update codecov-action

This fixes the error:
```
Node.js 16 actions are deprecated.
Please update the following actions to use Node.js 20.
```

Adapt test_version() in the unittest

Refers to #88, #89, #97

Check all 3 numbers of the kernel version in VersionCheck

Refers to #88, #89, #97

Fix the fresh set_state() bug found by unittest

This function should write 'self.state' anyway.

Refers to #88, #89, #97

Make `python -m unittest` show the whole output

Update github actions

This fixes the error:
```
Node.js 16 actions are deprecated.
Please update the following actions to use Node.js 20.
```

Implement the set_state() method of the check classes

Refers to #88, #89, #97

Use 3 numbers in the VersionCheck constructor

Refers to #88, #89, #97

Parse all numbers of the kernel version

Refers to #88, #89, #97

Skip the kernel version part after '-'

Example:
# Linux/x86_64 6.7.4-200.fc39.x86_64 Kernel Configuration

Refers to #88, #89, #97

Add the ia32_emulation check

Refers to #87 #112

Add MODULE_SIG_SHA3_512 as a valid option

Refers to #107

Make LOCKDOWN_LSM 'self_protection', not 'security_policy'

Ready for the release 0.6.6

Update issues.md

Update the README

Update the Ubuntu example configs

Don't print the warning about ARCH_MMAP_RND_BITS in the json mode

Improve the check of DEBUG_NOTIFIERS feature (part 2)

CFI_PERMISSIVE should be disabled. Reacting with a kernel warning
is not enough.

Thanks to @thestinger for the idea.

Refers to #99.

Improve the check of DEBUG_NOTIFIERS feature

This is what DEBUG_NOTIFIERS performs (see kernel/notifier.c):

```
#ifdef CONFIG_DEBUG_NOTIFIERS
if (unlikely(!func_ptr_is_kernel_text(nb->notifier_call))) {
WARN(1, "Invalid notifier called!");
nb = next_nb;
continue;
}
#endif
```

CFI can do the same better.

Thanks to @thestinger for the idea.

Refers to #99.

Improve the check of SCHED_STACK_END_CHECK.

SCHED_STACK_END_CHECK checks the magic value at the end
of the kernel thread stack, and VMAP_STACK adds guard pages near it.
So they do a bit different things, but VMAP_STACK is more reliable.

Thanks to @thestinger for the idea.

Refers to #98.

Fix style (III)

Use f-strings.

Fix style (II)

Fix style (I)

Disable pylint too-many-locals, it's not useful for add_kconfig_checks()

Fix pylint W0613: Unused argument 'arch'

Fix pylint E1101: Instance of 'OptCheck' has no 'type' member

Fix pylint W0613: Unused argument 'mode'

Update the NixOS configs

Don't add options without explicitly recommended values to Kconfig fragments

That's important for the '--generate' mode.

UBSAN_SANITIZE_ALL is now available for ARM

Fix the order in the vdso32 check (part II)

Fix the order in the vdso32 check

Improve the hackish refinement of the CONFIG_ARCH_MMAP_RND_BITS check

Don't check CONFIG_ARCH_MMAP_RND_BITS if CONFIG_ARCH_MMAP_RND_BITS_MAX
was not found.

Show the option type in print_unknown_options()

That improves debugging.

Use raw strings for regular expression

Fix the 'decision' for the 'AIO' check

Fix the 'decision' for the 'vdso32' check

Improve the comment for the 'slab_common.usercopy_fallback' check

Fix the arch condition for the SCHED_CORE check (III)

SCHED_CORE is finally available for ARM64 and ARM.

SCHED_SMT was needed for that.