Precise the Kconfig parsing

Get rid of useless regular expressions in detect_compiler()

Precise the regular expressions in detect_arch() and detect_kernel_version()

And fix the wording in the error message by the way.

Show error if some cmdline option exists multiple times

Add the basic infrastructure for checking sysctl

Refers to #65

Introduce the SysctlCheck class

Refers to #65

Check disabling XFS_SUPPORT_V4 for cutting attack surface

The XFS V4 format is deprecated:
https://elixir.bootlin.com/linux/v6.3.11/source/fs/xfs/Kconfig#L25

Quote:
The V4 filesystem format lacks certain features that are supported
by the V5 format, such as metadata checksumming, strengthened
metadata verification, and the ability to store timestamps past the
year 2038. Because of this, the V4 format is deprecated. All users
should upgrade by backing up their files, reformatting, and restoring
from the backup... To close off an attack surface, say N.

Print the microarchitecture in --generate mode

The Kconfig fragment should describe the microarchitecture to avoid mistakes.

Update the README

Add the info about /proc/cmdline to the usage help

I tested CONFIG_CMDLINE and CONFIG_BOOT_CONFIG mechanisms.
They allow passing additional boot parameters for the Linux kernel.

I see that all boot parameters are collected in /proc/cmdline.

So /proc/cmdline is the only information source that we should check to
analyze the Linux kernel boot parameters.

setup: fix "The license_file parameter is deprecated"

Use 'license_files' instead.

setup: Don't use the automatic "find_namespace:" discovery

This automatic discovery doesn't fit to the flat layout of my package
(without the "src" directory).

Instead, let's specify the "packages" explicitly in setup.cfg.

setup: Fix the warning "Package would be ignored"

The warning:
  ############################
  # Package would be ignored #
  ############################
  Python recognizes 'kconfig_hardened_check.config_files.distros' as an importable package,
  but it is not listed in the `packages` configuration of setuptools.

  'kconfig_hardened_check.config_files.distros' has been automatically added to the distribution only
  because it may contain data files, but this behavior is likely to change
  in future versions of setuptools (and therefore is considered deprecated).

  Please make sure that 'kconfig_hardened_check.config_files.distros' is included as a package by using
  the `packages` configuration field or the proper discovery methods
  (for example by using `find_namespace_packages(...)`/`find_namespace:`
  instead of `find_packages(...)`/`find:`).

So let's use "find_namespace:" for package directory to include
the package data. More info in the documentation:
https://setuptools.pypa.io/en/latest/userguide/package_discovery.html#finding-namespace-packages

setup: Drop obsolete zip_safe flag

More info in the documentation:
https://setuptools.pypa.io/en/latest/deprecated/zip_safe.html

And fix style by the way.

Move the draft of the security hardening sysctls to a proper place

Refers to #65

Improve normalize_cmdline_options()

GitHub Actions: decrease the max-parallel to 1 to avoid the codecov rate limit

Add functional tests for --generate

Refers to #67.

Update the README

Refers to #67.

Add a new feature --generate

With this argument the tool generates a Kconfig fragment with the security
hardening options for the selected microarchitecture.

Refers to #67.

This Kconfig fragment can be merged with the existing Linux kernel config:

$ ./bin/kconfig-hardened-check -g X86_64 > /tmp/fragment
$ cd ~/linux-src/
$ ./scripts/kconfig/merge_config.sh .config /tmp/fragment
Using .config as base
Merging /tmp/fragment
Value of CONFIG_BUG_ON_DATA_CORRUPTION is redefined by fragment /tmp/fragment:
Previous value: # CONFIG_BUG_ON_DATA_CORRUPTION is not set
New value: CONFIG_BUG_ON_DATA_CORRUPTION=y
...

Refactoring of the argument parsing

Improve the comments and README (part II)

Skip normalize_cmdline_options() for the vdso32 and vdso cmdline parameters

See vdso32_setup() in arch/x86/entry/vdso/vdso32-setup.c

Skip normalize_cmdline_options() for the vsyscall cmdline parameter

See vsyscall_setup() in arch/x86/entry/vsyscall/vsyscall_64.c

Skip normalize_cmdline_options() for the iommu cmdline parameter

See iommu_setup() in arch/x86/kernel/pci-dma.c

Skip normalize_cmdline_options() for the slub_debug cmdline parameter

See setup_slub_debug() in mm/slub.c

Improve the comments and README

Skip normalize_cmdline_options() for the rodata cmdline parameter

Also fix the rodata check (change '1' to 'on').

See set_debug_rodata() in init/main.c.

Skip normalize_cmdline_options() for the ssbd cmdline parameter

See parse_spectre_v4_param() in arch/arm64/kernel/proton-pack.c

Add a comment about cfi boot parameter

Add the X86_KERNEL_IBT check

Now it's enabled by default for X86_64.

Add a comment about `kernel.oops_limit` and `kernel.warn_limit` sysctls

Add a comment about `kernel.unprivileged_userns_clone` sysctl in Debian

Add the comments about HARDENED_USERCOPY features

Fix CI output style and move `pip install coverage` to the proper place

Use .github/workflows/functional_test.sh in GitHub Actions (like in Woodpecker-CI)

Now functional_test.sh is a common script used both in GitHub Actions
and Woodpecker-CI.

And also test the forgotten .gz kernel config.

Run the functional tests and collect the coverage in Woodpecker-CI

Check all configs with the installed tool the functional test in Woodpecker-CI

Test the package installation in the functional test in Woodpecker-CI

Run the engine unit-test in Woodpecker-CI

Create multiple pipelines for Woodpecker-CI at Codeberg

Create a configuration template for Codeberg CI (.woodpecker.yml)

Add the checks for vdso32 and vdso on X86_64 and X86_32

We need to check them because these kernel cmdline parameters can
override the COMPAT_VDSO kconfig option.

Improve the COMPAT_VDSO check

CONFIG_COMPAT_VDSO disabled ASLR of vDSO only on X86_64 and X86_32.
On ARM64 this option has different meaning (see the mainline commit
7c4791c9efca8c105a86022f7d5532aeaa819125).

Thanks to @izh1979 for the idea

Improve the vsyscall checks

Disabling X86_VSYSCALL_EMULATION turns vsyscall off completely, and
LEGACY_VSYSCALL_NONE can be changed at boot time via the cmdline parameter.

Thanks to @izh1979 for the idea

Add the comment about kernel.sysrq=0

Make hackish refinement of the CONFIG_ARCH_MMAP_RND_BITS check

Use new override_expected_value() for that.

This is needed to avoid wrong recommendations for ARM64 and ARM, where
CONFIG_ARCH_MMAP_RND_BITS_MAX depends on the paging configuration.

test_engine: add test_value_overriding()

engine: implement override_expected_value()

Require one of major LSMs implementing MAC

SELinux, Smack, Tomoyo, and AppArmor implement Mandatory Access Control (MAC).

Thanks to @izh1979 for the idea

Add the norandmaps check

Thanks to @izh1979 for the idea

Check that CoreSight Tracing Support is disabled (to cut attack surface)

The CONFIG_CORESIGHT framework provides a kernel interface for the
CoreSight debug and trace drivers for ARM/ARM64. It's better to have it
disabled to cut attack surface.

Drop the INTEGRITY check

CONFIG_INTEGRITY is useless without enabling IMA/EVM.
We can't require enabling IMA/EVM because there are other
file system integrity mechanisms like DM_VERITY, FS_VERITY, etc.
So there is no reason to check CONFIG_INTEGRITY.

Refers to #75

Add the DEBUG_ALIGN_RODATA check for ARM

Add new Android kernel configs from my friends

Also rename old Android configs

Add the LEGACY_TIOCSTI check

engine: remove the unused 'type' property from the OptCheck object

test_engine: rename unit-tests

test_engine: increase the unit-test coverage

test_engine: test the non-verbose output mode

test_engine: support the non-verbose output mode in get_engine_result()

Fix a pylint warning about f-string

test_engine: add test_verbose()

test_engine: implement get_engine_result() for stdout

test_engine: introduce get_engine_result()

It's refactoring, no functional changes

test_engine: add test_version()

test_engine: add missing cases for test_OR() and test_AND()

I mean testing 'is present' and 'is not off' in OR/AND

test_engine: test 'is not off'

test_engine: test 'is present'

test_engine: add a missing case for test_OR()

Enable functional testing for a gzipped config

Refers to #80

Inform about supporting *.gz kconfig files

Refers to #80

Add an example of a gzipped config

Refers to #80

Merge pull request #80 from nE0sIghT/feature/gzipped-config

Added support for gzipped config (eg. /proc/config.gz)

Added support for gzipped config (eg. /proc/config.gz)

test_engine: add test_OR() and test_AND()

test_engine: reorganize single unit-tests

test_engine: add test_kconfig_not_found()

Prevent populating the checklist with empty data

test_engine: add test_cmdline_ok() and test_cmdline_fail()

test_engine: add test_kconfig_fail()

Mute some pylint warnings for test_engine.py

test_engine: add test_kconfig_ok()

run_engine(): add the 'result' argument and put the JSON output into it

Fix pylint warnings: add class docstring

Fix pylint warnings: mark run_engine() with @staticmethod

Create the run_engine() helper

Add the first unit-test draft

Fix style

Group the badges

Set the names for the codecov uploads

Create two separate badges: functional test coverage and unit-test coverage

Install 'coverage' in the unit-test CI workflow

Don't fail the unit-test template

That will allow the CI workflow to continue

Upload the unit-test coverage to codecov (use a separate flag)

Add the links to the project badges

Add the unit-test badge

Rename the workflow file with the functional test

Create a separate CI workflow for unit-tests

Add a template for unit-tests