Make hackish refinement of the CONFIG_ARCH_MMAP_RND_BITS check

Use new override_expected_value() for that.

This is needed to avoid wrong recommendations for ARM64 and ARM, where
CONFIG_ARCH_MMAP_RND_BITS_MAX depends on the paging configuration.

test_engine: add test_value_overriding()

engine: implement override_expected_value()

Require one of major LSMs implementing MAC

SELinux, Smack, Tomoyo, and AppArmor implement Mandatory Access Control (MAC).

Thanks to @izh1979 for the idea

Add the norandmaps check

Thanks to @izh1979 for the idea

Check that CoreSight Tracing Support is disabled (to cut attack surface)

The CONFIG_CORESIGHT framework provides a kernel interface for the
CoreSight debug and trace drivers for ARM/ARM64. It's better to have it
disabled to cut attack surface.

Drop the INTEGRITY check

CONFIG_INTEGRITY is useless without enabling IMA/EVM.
We can't require enabling IMA/EVM because there are other
file system integrity mechanisms like DM_VERITY, FS_VERITY, etc.
So there is no reason to check CONFIG_INTEGRITY.

Refers to #75

Add the DEBUG_ALIGN_RODATA check for ARM

Add new Android kernel configs from my friends

Also rename old Android configs

Add the LEGACY_TIOCSTI check

engine: remove the unused 'type' property from the OptCheck object

test_engine: rename unit-tests

test_engine: increase the unit-test coverage

test_engine: test the non-verbose output mode

test_engine: support the non-verbose output mode in get_engine_result()

Fix a pylint warning about f-string

test_engine: add test_verbose()

test_engine: implement get_engine_result() for stdout

test_engine: introduce get_engine_result()

It's refactoring, no functional changes

test_engine: add test_version()

test_engine: add missing cases for test_OR() and test_AND()

I mean testing 'is present' and 'is not off' in OR/AND

test_engine: test 'is not off'

test_engine: test 'is present'

test_engine: add a missing case for test_OR()

Enable functional testing for a gzipped config

Refers to #80

Inform about supporting *.gz kconfig files

Refers to #80

Add an example of a gzipped config

Refers to #80

Merge pull request #80 from nE0sIghT/feature/gzipped-config

Added support for gzipped config (eg. /proc/config.gz)

Added support for gzipped config (eg. /proc/config.gz)

test_engine: add test_OR() and test_AND()

test_engine: reorganize single unit-tests

test_engine: add test_kconfig_not_found()

Prevent populating the checklist with empty data

test_engine: add test_cmdline_ok() and test_cmdline_fail()

test_engine: add test_kconfig_fail()

Mute some pylint warnings for test_engine.py

test_engine: add test_kconfig_ok()

run_engine(): add the 'result' argument and put the JSON output into it

Fix pylint warnings: add class docstring

Fix pylint warnings: mark run_engine() with @staticmethod

Create the run_engine() helper

Add the first unit-test draft

Fix style

Group the badges

Set the names for the codecov uploads

Create two separate badges: functional test coverage and unit-test coverage

Install 'coverage' in the unit-test CI workflow

Don't fail the unit-test template

That will allow the CI workflow to continue

Upload the unit-test coverage to codecov (use a separate flag)

Add the links to the project badges

Add the unit-test badge

Rename the workflow file with the functional test

Create a separate CI workflow for unit-tests

Add a template for unit-tests

Erase coverage to prepare for unit-testing

Limit the number of parallel GitHub Action jobs to 3

That hopefully prevents the error "codecov failed with exit code 255".

Add more automatic tests (and increase the coverage)

Update the GitHub Actions to newer versions

Drop a useless 'if'

This condition has been checked at the beginning of the function.

Noticed this in the code coverage report.

Refactor normalize_cmdline_options() for better style and test coverage

Drop the 'kvm.nx_huge_pages' check

It's not really about security

Fix the bug in OptCheck.check() introduced in cb779a71bf57d95b

Use 'elif' instead of 'if' to avoid wrong self.result when
self.state is 'off'.

We need unit-tests for the engine checking the correctness: #79

Improve the test coverage

Fix style in the CI script

Improve the slab_nomerge check

Add my files to gitignore

Use similar f-strings for more cases

Compare with None explicitly

These objects should be compared for identity with None using 'is' operator.

Add the GitHub link

Allow not setting specific CPU bug mitigations only if 'mitigations=auto,nosmt'

Improve the 'pylint disable' statements

Add docstrings for the modules

Split into Python modules

Fix pylint: Using open without explicitly specifying an encoding

Fix pylint warning: formatting a regular string which could be a f-string (IV)

Part IV, sys.exit()

Fix pylint warning: formatting a regular string which could be a f-string (III)

Part III, strings

Fix pylint warning: formatting a regular string which could be a f-string (II)

Part II, assert()

Fix pylint warning: formatting a regular string which could be a f-string (I)

Part I, print()

Improve the 'mitigations' check

Thanks to @izh1979

Add more info about perf_event_paranoid

Thanks to @izh1979

Return the AIO check

Linus about AIO: https://lwn.net/Articles/671657/
LWN: Fixing asynchronous I/O, again: https://lwn.net/Articles/671649/

Add the NOUVEAU_LEGACY_CTX_SUPPORT check

See https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=b30a43ac7132cdda833ac4b13dd1ebd35ace14b7

Dave Airlie:
There was a nouveau DDX that relied on legacy context ioctls to work,
but we fixed it years ago, give distros that have a modern DDX the
option to break the uAPI and close the mess of holes that legacy
context support is.

Don't use the uninitialized 'parsed_cmdline_options' variable

Update the README

Ready for release 0.6.1.

Fix the 'decision' for the slub_merge check

Fix the pylint R1714 issues

No functional changes

Add the check for the 'kvm.nx_huge_pages' cmdline parameter

Add the check for the slub_merge cmdline parameter

Rename the file with the KSPP cmdline recommendations to avoid breaking the CI

Clean up the comments

Add the check for the iommu cmdline option

Refers to #76

Add the KSPP cmdline recommendations for x86_64

Include parsed_cmdline_options in the print_unknown_options() call

Rename the files with the KSPP recommendations

Drop get-nix-kconfig.py (`nix-build get-nixos-kconfig.nix` does the job)

Refers to #77 and #63.

Add the NixOS kernel configs

Refers to #77

Merge branch 'from-o8opi-2'

Thanks, @o8opi

Update the VMAP_STACK check: it is available for ARM

Fix the arch condition for the SCHED_CORE check (II)

Update the KSPP recommendations