Don't mention LKDTM

I can't recommend disabling it, because LKDTM is used to test the kernel
hardening features.

But I cant recommend enabling it, because LKDTM contains intentional
memory corruption errors. It's not for production systems.

So let's simply drop the comment about LKDTM.

Add info about the LKDDb project by @cateee

#68

Check ARM64_BTI for userspace hardening

Check ARM64_PTR_AUTH for userspace hardening

Add rodata check for ARM64

Add iommu.passthrough check

Add IOMMU_DEFAULT_PASSTHROUGH check

Add iommu.strict check

Add vsyscall check

Don't add CmdlineChecks in add_kconfig_checks() to avoid wrong results

Add slub_debug check

Add the release badge

Add the init_on_free check

Add the page_poison check required for PAGE_POISONING_ZERO

Rewrite the slab_nomerge check

Use the presence check for slab_nomerge.
Also check that slab_merge is not set.

Rewrite the randomize_kstack_offset check

Reusing "is not set" for CmdlineCheck is a nice hack.

Check that a kconfig option value is sane

Add a tricky check for init_on_alloc and INIT_ON_ALLOC_DEFAULT_ON

Nice!

Move the add_cmdline_checks() call earlier

populate_with_data() must be called after all checks have been added.

Don't check __name__ in __init__.py (it can't run separately anyway)

Fix the pylint warning about isinstance

Drop unneeded properties of ComplexOptCheck

Thanks to the coverage info

Turn some error conditions into assertions (part 4)

Turn some error conditions into assertions (part 3)

Turn some error conditions into assertions (part 2)

Turn some error conditions into assertions (part 1)

Drop useless checks, the ComplexOptCheck constructor has already checked this

github actions: Test error handling (part 2)

And also test the tool without "-l".

github actions: Test error handling (part 1)

github actions: Collect coverage for error handling (part 1)

github actions: upgrade to codecov-action@v2

Check that --config and --print are not used together

github actions: Collect coverage for cmdline checking

github actions: Improve the descriptions

github actions: Improve the test output

Drop dash-separated values from setup.cfg

github actions: Add testing with python 3.9

Merge branch 'cmdline'

This is the feature for #46.

Change the example output in README

Describe the cmdline checking support in README

Add the example config of Fedora 34

Check the pti cmdline parameter

Check the slab_nomerge cmdline parameter

Check the randomize_kstack_offset cmdline parameter

Add cmdline file parsing

Add the infrastructure for cmdline checks

Add '--cmdline' argument for the tool

Add cmdline checks to '--print'

Add the CmdlineCheck class

Add the comment about sysrq_always_enabled

Thanks to @izh1979 for the idea (and for the rodata idea too).

Add the comment about rodata

Update direct feedback from Linux kernel maintainers (#62)

Add the comment about arm64.nomte

Thanks to @izh1979 for the idea.

Add the comment about kernel.randomize_va_space

Thanks to @izh1979 for the idea.

Add the KGDB check

Thanks to @izh1979 for the idea.

Add RANDOMIZE_MODULE_REGION_FULL for arm64

Thanks to @izh1979 for the idea.

Update the README

Ready for the release 0.5.17.

Merge pull request #62 from evdenis/master

Add BLK_DEV_FD_RAWCMD

Thanks @evdenis!

Add the type property for OptCheck to fix a pylint error

Fix for kconfig_hardened_check/__init__.py:125:68: E1101:
  Instance of 'OptCheck' has no 'type' member (no-member)

Add BLK_DEV_FD_RAWCMD

See commit torvalds/linux@233087ca0636 ("floppy: disable FDRAWCMD by default")

Signed-off-by: Denis Efremov <efremov@linux.com>

Add the STACKPROTECTOR check from KSPP

Thanks to @izh1979 for the idea.

Drop the ARM64_MTE check for userspace hardening

It is moved to kernel self protection.

Thanks to @izh1979 for the idea.

Separate out checking SECURITY_WRITABLE_HOOKS and SECURITY_SELINUX_DISABLE

Thanks to @izh1979 for the idea.
Combining these checks with OR is not correct.

Fix the arch condition for the SCHED_CORE check

Add the KSPP recommendation of ZERO_CALL_USED_REGS

Disabling X86_MSR is recommended by KSPP

Fix the bug in the verdict description for ComplexOptCheck

Before the fix:
CONFIG_EFI_DISABLE_PCI_DMA | kconfig | y | clipos | self_protection | OK: not found

After the fix:
CONFIG_EFI_DISABLE_PCI_DMA | kconfig | y | clipos | self_protection | OK: CONFIG_EFI not found

Also added the assertions preventing similar bugs in future.

Additional check for TYPES_OF_CHECKS

Drop PresenceCheck; OptCheck without 'expected' parameter can do the job

Update the KSPP recommendations in the config_files

Add the KSPP recommendation of SCHED_CORE

Add the KSPP recommendation of IOMMU_DEFAULT_DMA_STRICT

Add the KSPP recommendation of WERROR

Add the KSPP recommendation of KFENCE

No need in BPF_UNPRIV_DEFAULT_OFF if BPF_SYSCALL is disabled

Merge branch 'from-martin-rowe'

Add defconfigs for Linux v5.17

Drop unneeded return values (refactoring)

UBSAN_SANITIZE_ALL not available on ARM

ARCH_HAS_UBSAN_SANITIZE_ALL is not selected for arm arch, which
prevents selectiong of CONFIG_UBSAN_SANITIZE_ALL

https://github.com/torvalds/linux/blob/master/arch/arm/Kconfig
https://github.com/torvalds/linux/blob/master/lib/Kconfig.ubsan

Add HARDEN_BRANCH_HISTORY for arm

Add MITIGATE_SPECTRE_BRANCH_HISTORY for arm64

THREAD_INFO_IN_TASK is available for ARM since v5.16

Merge branch 'from-martin-rowe'

Refers to #59.

Thanks @cyanidium

EFI mitigations can't be enabled if EFI is not set

Both EFI_DISABLE_PCI_DMA and RESET_ATTACK_MITIGATION depend on EFI, but if EFI is not set, neither config is required.

Useful on embedded devices that use u-boot or similar instead of EFI.

Fix the BPF_UNPRIV_DEFAULT_OFF check (it is enabled by default)

Add CONFIG_SLS vs CVE-2021-26341 in Straight-Line-Speculation

Add the comment that l1d_flush is a part of the l1tf option

Add BPF_UNPRIV_DEFAULT_OFF to cut_attack_surface

Use the option type instead of calling hasattr()

Merge branch 'refactoring'

It has more preparations for solving #46.

Introduce the json_dump() class method

Improve 'type' for ComplexOptCheck and PresenceCheck classes

Make populate_with_data() aware of data type

Add 'type' for PresenceCheck and VersionCheck

Rename VerCheck to VersionCheck

Add more ComplexOptCheck validation

Improve print_unknown_options()

Don't miss options behind the second level of ComplexOptCheck

Remove 'CONFIG_' hardcoding

Merge branch 'refactoring'

It has preparations for solving #46.

Refactor the OR logic code