README.md

   1 # kconfig-hardened-check
   2
   3 ![functional test](https://github.com/a13xp0p0v/kconfig-hardened-check/workflows/functional%20test/badge.svg)
   4 [![Coverage Status](https://codecov.io/gh/a13xp0p0v/kconfig-hardened-check/graph/badge.svg)](https://codecov.io/gh/a13xp0p0v/kconfig-hardened-check)
   5
   6 ## Motivation
   7
   8 There are plenty of security hardening options in the Linux kernel. A lot of them are
   9 not enabled by the major distros. We have to enable these options ourselves to
  10 make our systems more secure.
  11
  12 But nobody likes checking configs manually. So let the computers do their job!
  13
  14 __kconfig-hardened-check.py__ helps me to check the Linux kernel Kconfig option list
  15 against my security hardening preferences, which are based on the
  16
  17   - [KSPP recommended settings][1],
  18   - [CLIP OS kernel configuration][2],
  19   - last public [grsecurity][3] patch (options which they disable),
  20   - [SECURITY_LOCKDOWN_LSM][5] patchset,
  21   - direct feedback from Linux kernel maintainers (Daniel Vetter in [issue #38][6]).
  22
  23 I also created [__Linux Kernel Defence Map__][4] that is a graphical representation of the
  24 relationships between security hardening features and the corresponding vulnerability classes
  25 or exploitation techniques.
  26
  27 ## Supported microarchitectures
  28
  29   - X86_64
  30   - X86_32
  31   - ARM64
  32   - ARM
  33
  34 ## Installation
  35
  36 You can install the package:
  37
  38 ```
  39 pip install git+https://github.com/a13xp0p0v/kconfig-hardened-check
  40 ```
  41
  42 or simply run `./bin/kconfig-hardened-check` from the cloned repository.
  43
  44 ## Usage
  45 ```
  46 usage: kconfig-hardened-check [-h] [--version] [-p {X86_64,X86_32,ARM64,ARM}]
  47                               [-c CONFIG]
  48                               [-m {verbose,json,show_ok,show_fail}]
  49
  50 A tool for checking the security hardening options of the Linux kernel
  51
  52 optional arguments:
  53   -h, --help            show this help message and exit
  54   --version             show program's version number and exit
  55   -p {X86_64,X86_32,ARM64,ARM}, --print {X86_64,X86_32,ARM64,ARM}
  56                         print security hardening preferences for the selected architecture
  57   -c CONFIG, --config CONFIG
  58                         check the kernel config file against these preferences
  59   -m {verbose,json,show_ok,show_fail}, --mode {verbose,json,show_ok,show_fail}
  60                         choose the report mode
  61 ```
  62
  63 ## Output for `Ubuntu 20.04 LTS (Focal Fossa)` kernel config
  64 ```
  65 $ ./bin/kconfig-hardened-check -c kconfig_hardened_check/config_files/distros/ubuntu-focal.config
  66 [+] Config file to check: kconfig_hardened_check/config_files/distros/ubuntu-focal.config
  67 [+] Detected architecture: X86_64
  68 [+] Detected kernel version: 5.4
  69 =========================================================================================================================
  70                  option name                 | desired val | decision |       reason       |   check result
  71 =========================================================================================================================
  72 CONFIG_BUG                                   |      y      |defconfig |  self_protection   |   OK
  73 CONFIG_SLUB_DEBUG                            |      y      |defconfig |  self_protection   |   OK
  74 CONFIG_GCC_PLUGINS                           |      y      |defconfig |  self_protection   |   FAIL: not found
  75 CONFIG_STACKPROTECTOR_STRONG                 |      y      |defconfig |  self_protection   |   OK
  76 CONFIG_STRICT_KERNEL_RWX                     |      y      |defconfig |  self_protection   |   OK
  77 CONFIG_STRICT_MODULE_RWX                     |      y      |defconfig |  self_protection   |   OK
  78 CONFIG_REFCOUNT_FULL                         |      y      |defconfig |  self_protection   |   FAIL: "is not set"
  79 CONFIG_IOMMU_SUPPORT                         |      y      |defconfig |  self_protection   |   OK
  80 CONFIG_RANDOMIZE_BASE                        |      y      |defconfig |  self_protection   |   OK
  81 CONFIG_THREAD_INFO_IN_TASK                   |      y      |defconfig |  self_protection   |   OK
  82 CONFIG_VMAP_STACK                            |      y      |defconfig |  self_protection   |   OK
  83 CONFIG_MICROCODE                             |      y      |defconfig |  self_protection   |   OK
  84 CONFIG_RETPOLINE                             |      y      |defconfig |  self_protection   |   OK
  85 CONFIG_X86_SMAP                              |      y      |defconfig |  self_protection   |   OK
  86 CONFIG_SYN_COOKIES                           |      y      |defconfig |  self_protection   |   OK
  87 CONFIG_X86_UMIP                              |      y      |defconfig |  self_protection   |   OK: CONFIG_X86_INTEL_UMIP "y"
  88 CONFIG_PAGE_TABLE_ISOLATION                  |      y      |defconfig |  self_protection   |   OK
  89 CONFIG_RANDOMIZE_MEMORY                      |      y      |defconfig |  self_protection   |   OK
  90 CONFIG_INTEL_IOMMU                           |      y      |defconfig |  self_protection   |   OK
  91 CONFIG_AMD_IOMMU                             |      y      |defconfig |  self_protection   |   OK
  92 CONFIG_SECURITY_DMESG_RESTRICT               |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  93 CONFIG_BUG_ON_DATA_CORRUPTION                |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  94 CONFIG_DEBUG_WX                              |      y      |   kspp   |  self_protection   |   OK
  95 CONFIG_SCHED_STACK_END_CHECK                 |      y      |   kspp   |  self_protection   |   OK
  96 CONFIG_SLAB_FREELIST_HARDENED                |      y      |   kspp   |  self_protection   |   OK
  97 CONFIG_SLAB_FREELIST_RANDOM                  |      y      |   kspp   |  self_protection   |   OK
  98 CONFIG_SHUFFLE_PAGE_ALLOCATOR                |      y      |   kspp   |  self_protection   |   OK
  99 CONFIG_FORTIFY_SOURCE                        |      y      |   kspp   |  self_protection   |   OK
 100 CONFIG_DEBUG_LIST                            |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 101 CONFIG_DEBUG_SG                              |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 102 CONFIG_DEBUG_CREDENTIALS                     |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 103 CONFIG_DEBUG_NOTIFIERS                       |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 104 CONFIG_INIT_ON_ALLOC_DEFAULT_ON              |      y      |   kspp   |  self_protection   |   OK
 105 CONFIG_GCC_PLUGIN_LATENT_ENTROPY             |      y      |   kspp   |  self_protection   |   FAIL: not found
 106 CONFIG_GCC_PLUGIN_RANDSTRUCT                 |      y      |   kspp   |  self_protection   |   FAIL: not found
 107 CONFIG_HARDENED_USERCOPY                     |      y      |   kspp   |  self_protection   |   OK
 108 CONFIG_HARDENED_USERCOPY_FALLBACK            | is not set  |   kspp   |  self_protection   |   FAIL: "y"
 109 CONFIG_HARDENED_USERCOPY_PAGESPAN            | is not set  |   kspp   |  self_protection   |   OK
 110 CONFIG_MODULE_SIG                            |      y      |   kspp   |  self_protection   |   OK
 111 CONFIG_MODULE_SIG_ALL                        |      y      |   kspp   |  self_protection   |   OK
 112 CONFIG_MODULE_SIG_SHA512                     |      y      |   kspp   |  self_protection   |   OK
 113 CONFIG_MODULE_SIG_FORCE                      |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 114 CONFIG_INIT_STACK_ALL_ZERO                   |      y      |   kspp   |  self_protection   |   FAIL: not found
 115 CONFIG_INIT_ON_FREE_DEFAULT_ON               |      y      |   kspp   |  self_protection   |   OK: CONFIG_PAGE_POISONING_ZERO "y"
 116 CONFIG_GCC_PLUGIN_STACKLEAK                  |      y      |   kspp   |  self_protection   |   FAIL: not found
 117 CONFIG_RANDOMIZE_KSTACK_OFFSET_DEFAULT       |      y      |   kspp   |  self_protection   |   FAIL: not found
 118 CONFIG_DEFAULT_MMAP_MIN_ADDR                 |    65536    |   kspp   |  self_protection   |   OK
 119 CONFIG_UBSAN_BOUNDS                          |      y      |maintainer|  self_protection   |   FAIL: not found
 120 CONFIG_UBSAN_SANITIZE_ALL                    |      y      |maintainer|  self_protection   |   FAIL: CONFIG_UBSAN_BOUNDS not "y"
 121 CONFIG_UBSAN_TRAP                            |      y      |maintainer|  self_protection   |   FAIL: CONFIG_UBSAN_BOUNDS not "y"
 122 CONFIG_DEBUG_VIRTUAL                         |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 123 CONFIG_STATIC_USERMODEHELPER                 |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 124 CONFIG_EFI_DISABLE_PCI_DMA                   |      y      |  clipos  |  self_protection   |   FAIL: not found
 125 CONFIG_SLAB_MERGE_DEFAULT                    | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 126 CONFIG_RANDOM_TRUST_BOOTLOADER               | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 127 CONFIG_RANDOM_TRUST_CPU                      | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 128 CONFIG_GCC_PLUGIN_RANDSTRUCT_PERFORMANCE     | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_RANDSTRUCT not "y"
 129 CONFIG_STACKLEAK_METRICS                     | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_STACKLEAK not "y"
 130 CONFIG_STACKLEAK_RUNTIME_DISABLE             | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_STACKLEAK not "y"
 131 CONFIG_INTEL_IOMMU_DEFAULT_ON                |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 132 CONFIG_INTEL_IOMMU_SVM                       |      y      |  clipos  |  self_protection   |   OK
 133 CONFIG_RESET_ATTACK_MITIGATION               |      y      |    my    |  self_protection   |   OK
 134 CONFIG_AMD_IOMMU_V2                          |      y      |    my    |  self_protection   |   FAIL: "m"
 135 CONFIG_SECURITY                              |      y      |defconfig |  security_policy   |   OK
 136 CONFIG_SECURITY_YAMA                         |      y      |   kspp   |  security_policy   |   OK
 137 CONFIG_SECURITY_WRITABLE_HOOKS               | is not set  |    my    |  security_policy   |   OK: not found
 138 CONFIG_SECURITY_LOCKDOWN_LSM                 |      y      |  clipos  |  security_policy   |   OK
 139 CONFIG_SECURITY_LOCKDOWN_LSM_EARLY           |      y      |  clipos  |  security_policy   |   OK
 140 CONFIG_LOCK_DOWN_KERNEL_FORCE_CONFIDENTIALITY|      y      |  clipos  |  security_policy   |   FAIL: "is not set"
 141 CONFIG_SECURITY_SAFESETID                    |      y      |    my    |  security_policy   |   OK
 142 CONFIG_SECURITY_LOADPIN                      |      y      |    my    |  security_policy   |   FAIL: "is not set"
 143 CONFIG_SECURITY_LOADPIN_ENFORCE              |      y      |    my    |  security_policy   |   FAIL: CONFIG_SECURITY_LOADPIN not "y"
 144 CONFIG_SECCOMP                               |      y      |defconfig | cut_attack_surface |   OK
 145 CONFIG_SECCOMP_FILTER                        |      y      |defconfig | cut_attack_surface |   OK
 146 CONFIG_STRICT_DEVMEM                         |      y      |defconfig | cut_attack_surface |   OK
 147 CONFIG_ACPI_CUSTOM_METHOD                    | is not set  |   kspp   | cut_attack_surface |   OK
 148 CONFIG_COMPAT_BRK                            | is not set  |   kspp   | cut_attack_surface |   OK
 149 CONFIG_DEVKMEM                               | is not set  |   kspp   | cut_attack_surface |   OK
 150 CONFIG_COMPAT_VDSO                           | is not set  |   kspp   | cut_attack_surface |   OK
 151 CONFIG_BINFMT_MISC                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "m"
 152 CONFIG_INET_DIAG                             | is not set  |   kspp   | cut_attack_surface |   FAIL: "m"
 153 CONFIG_KEXEC                                 | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 154 CONFIG_PROC_KCORE                            | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 155 CONFIG_LEGACY_PTYS                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 156 CONFIG_HIBERNATION                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 157 CONFIG_IA32_EMULATION                        | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 158 CONFIG_X86_X32                               | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 159 CONFIG_MODIFY_LDT_SYSCALL                    | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 160 CONFIG_OABI_COMPAT                           | is not set  |   kspp   | cut_attack_surface |   OK: not found
 161 CONFIG_MODULES                               | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 162 CONFIG_DEVMEM                                | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 163 CONFIG_IO_STRICT_DEVMEM                      |      y      |   kspp   | cut_attack_surface |   FAIL: "is not set"
 164 CONFIG_LEGACY_VSYSCALL_NONE                  |      y      |   kspp   | cut_attack_surface |   FAIL: "is not set"
 165 CONFIG_ZSMALLOC_STAT                         | is not set  |grsecurity| cut_attack_surface |   OK
 166 CONFIG_PAGE_OWNER                            | is not set  |grsecurity| cut_attack_surface |   OK
 167 CONFIG_DEBUG_KMEMLEAK                        | is not set  |grsecurity| cut_attack_surface |   OK
 168 CONFIG_BINFMT_AOUT                           | is not set  |grsecurity| cut_attack_surface |   OK: not found
 169 CONFIG_KPROBES                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 170 CONFIG_UPROBES                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 171 CONFIG_GENERIC_TRACER                        | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 172 CONFIG_PROC_VMCORE                           | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 173 CONFIG_PROC_PAGE_MONITOR                     | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 174 CONFIG_USELIB                                | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 175 CONFIG_CHECKPOINT_RESTORE                    | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 176 CONFIG_USERFAULTFD                           | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 177 CONFIG_HWPOISON_INJECT                       | is not set  |grsecurity| cut_attack_surface |   FAIL: "m"
 178 CONFIG_MEM_SOFT_DIRTY                        | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 179 CONFIG_DEVPORT                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 180 CONFIG_DEBUG_FS                              | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 181 CONFIG_NOTIFIER_ERROR_INJECTION              | is not set  |grsecurity| cut_attack_surface |   FAIL: "m"
 182 CONFIG_X86_PTDUMP                            | is not set  |grsecurity| cut_attack_surface |   OK
 183 CONFIG_DRM_LEGACY                            | is not set  |maintainer| cut_attack_surface |   OK
 184 CONFIG_FB                                    | is not set  |maintainer| cut_attack_surface |   FAIL: "y"
 185 CONFIG_VT                                    | is not set  |maintainer| cut_attack_surface |   FAIL: "y"
 186 CONFIG_BLK_DEV_FD                            | is not set  |maintainer| cut_attack_surface |   FAIL: "m"
 187 CONFIG_AIO                                   | is not set  |grapheneos| cut_attack_surface |   FAIL: "y"
 188 CONFIG_STAGING                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 189 CONFIG_KSM                                   | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 190 CONFIG_KALLSYMS                              | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 191 CONFIG_X86_VSYSCALL_EMULATION                | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 192 CONFIG_MAGIC_SYSRQ                           | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 193 CONFIG_KEXEC_FILE                            | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 194 CONFIG_USER_NS                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 195 CONFIG_X86_MSR                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "m"
 196 CONFIG_X86_CPUID                             | is not set  |  clipos  | cut_attack_surface |   FAIL: "m"
 197 CONFIG_IO_URING                              | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 198 CONFIG_X86_IOPL_IOPERM                       | is not set  |  clipos  | cut_attack_surface |   OK: not found
 199 CONFIG_ACPI_TABLE_UPGRADE                    | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 200 CONFIG_EFI_CUSTOM_SSDT_OVERLAYS              | is not set  |  clipos  | cut_attack_surface |   OK: not found
 201 CONFIG_LDISC_AUTOLOAD                        | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 202 CONFIG_X86_INTEL_TSX_MODE_OFF                |      y      |  clipos  | cut_attack_surface |   OK
 203 CONFIG_EFI_TEST                              | is not set  | lockdown | cut_attack_surface |   FAIL: "m"
 204 CONFIG_BPF_SYSCALL                           | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 205 CONFIG_MMIOTRACE_TEST                        | is not set  | lockdown | cut_attack_surface |   OK
 206 CONFIG_TRIM_UNUSED_KSYMS                     |      y      |    my    | cut_attack_surface |   FAIL: not found
 207 CONFIG_MMIOTRACE                             | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 208 CONFIG_LIVEPATCH                             | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 209 CONFIG_IP_DCCP                               | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 210 CONFIG_IP_SCTP                               | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 211 CONFIG_FTRACE                                | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 212 CONFIG_VIDEO_VIVID                           | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 213 CONFIG_INPUT_EVBUG                           | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 214 CONFIG_INTEGRITY                             |      y      |defconfig |userspace_hardening |   OK
 215 CONFIG_ARCH_MMAP_RND_BITS                    |     32      |  clipos  |userspace_hardening |   FAIL: "28"
 216
 217 [+] Config check is finished: 'OK' - 59 / 'FAIL' - 85
 218 ```
 219
 220 ## kconfig-hardened-check versioning
 221
 222 I usually update the kernel security hardening recommendations after each Linux kernel release.
 223
 224 So the version of `kconfig-hardened-check` is associated with the corresponding version of the kernel.
 225
 226 The version format is: __[major_number].[kernel_version].[kernel_patchlevel]__
 227
 228
 229 ## Questions and answers
 230
 231 __Q:__ How disabling `CONFIG_USER_NS` cuts the attack surface? It's needed for containers!
 232
 233 __A:__ Yes, the `CONFIG_USER_NS` option provides some isolation between the userspace programs,
 234 but the tool recommends disabling it to cut the attack surface __of the kernel__.
 235
 236 The rationale:
 237
 238   - A nice LWN article about the corresponding LKML discussion: https://lwn.net/Articles/673597/
 239
 240   - A twitter thread about `CONFIG_USER_NS` and security: https://twitter.com/robertswiecki/status/1095447678949953541
 241
 242   - A good overview of the trade-off between having user namespaces enabled, disabled and available only for root: https://github.com/NixOS/nixpkgs/pull/84522#issuecomment-614640601
 243
 244 <br />
 245
 246 __Q:__ Why `CONFIG_GCC_PLUGINS` is automatically disabled during the kernel compilation?
 247
 248 __A:__ It means that your gcc doesn't support plugins. For example, if you have `gcc-7` on Ubuntu,
 249 try to install `gcc-7-plugin-dev` package, it should help.
 250
 251 <br />
 252
 253 __Q:__ KSPP and CLIP OS recommend `CONFIG_PANIC_ON_OOPS=y`. Why doesn't this tool do the same?
 254
 255 __A:__ I personally don't support this recommendation because it provides easy denial-of-service
 256 attacks for the whole system (kernel oops is not a rare situation). I think having `CONFIG_BUG` is enough here --
 257 if we have a kernel oops in the process context, the offending/attacking process is killed.
 258
 259 <br />
 260
 261 __Q:__ What about performance impact of these security hardening options?
 262
 263 __A:__ Ike Devolder [@BlackIkeEagle][7] made some performance tests and described the results in [this article][8].
 264
 265 <br />
 266
 267 __Q:__ Why enabling `CONFIG_STATIC_USERMODEHELPER` breaks various things in my GNU/Linux system?
 268 Do I really need that feature?
 269
 270 __A:__ Linux kernel usermode helpers can be used for privilege escalation in kernel exploits
 271 ([example 1][9], [example 2][10]). `CONFIG_STATIC_USERMODEHELPER` prevents that method. But it
 272 requires the corresponding support in the userspace: see the [example implementation][11] by
 273 Tycho Andersen [@tych0][12].
 274
 275 <br />
 276
 277 __Q:__ Does my kernel have all those mitigations of Transient Execution Vulnerabilities in my hardware?
 278
 279 __A:__ Checking the kernel config is not enough to answer this question.
 280 I highly recommend using [spectre-meltdown-checker][13] tool maintained by Stéphane Lesimple [@speed47][14].
 281
 282
 283 [1]: http://kernsec.org/wiki/index.php/Kernel_Self_Protection_Project/Recommended_Settings
 284 [2]: https://docs.clip-os.org/clipos/kernel.html#configuration
 285 [3]: https://grsecurity.net/
 286 [4]: https://github.com/a13xp0p0v/linux-kernel-defence-map
 287 [5]: https://lwn.net/Articles/791863/
 288 [6]: https://github.com/a13xp0p0v/kconfig-hardened-check/issues/38
 289 [7]: https://github.com/BlackIkeEagle
 290 [8]: https://blog.herecura.eu/blog/2020-05-30-kconfig-hardening-tests/
 291 [9]: https://googleprojectzero.blogspot.com/2018/09/a-cache-invalidation-bug-in-linux.html
 292 [10]: https://a13xp0p0v.github.io/2020/02/15/CVE-2019-18683.html
 293 [11]: https://github.com/tych0/huldufolk
 294 [12]: https://github.com/tych0
 295 [13]: https://github.com/speed47/spectre-meltdown-checker
 296 [14]: https://github.com/speed47