README.md

   1 # kconfig-hardened-check
   2
   3 ![functional test](https://github.com/a13xp0p0v/kconfig-hardened-check/workflows/functional%20test/badge.svg)
   4 [![Coverage Status](https://codecov.io/gh/a13xp0p0v/kconfig-hardened-check/graph/badge.svg)](https://codecov.io/gh/a13xp0p0v/kconfig-hardened-check)
   5
   6 ## Motivation
   7
   8 There are plenty of Linux kernel hardening config options. A lot of them are
   9 not enabled by the major distros. We have to enable these options ourselves to
  10 make our systems more secure.
  11
  12 But nobody likes checking configs manually. So let the computers do their job!
  13
  14 __kconfig-hardened-check.py__ helps me to check the Linux kernel Kconfig option list
  15 against my hardening preferences, which are based on the
  16
  17   - [KSPP recommended settings][1],
  18   - [CLIP OS kernel configuration][2],
  19   - last public [grsecurity][3] patch (options which they disable).
  20
  21 I also created [__Linux Kernel Defence Map__][4] that is a graphical representation of the
  22 relationships between these hardening features and the corresponding vulnerability classes
  23 or exploitation techniques.
  24
  25 ## Supported microarchitectures
  26
  27   - X86_64
  28   - X86_32
  29   - ARM64
  30   - ARM
  31
  32 ## Installation
  33
  34 You can install the package:
  35
  36 ```
  37 pip install git+https://github.com/a13xp0p0v/kconfig-hardened-check
  38 ```
  39
  40 or simply run `./bin/kconfig-hardened-check` from the cloned repository.
  41
  42 ## Usage
  43 ```
  44 usage: kconfig-hardened-check [-h] [-p {X86_64,X86_32,ARM64,ARM}] [-c CONFIG]
  45                               [--debug] [--json]
  46
  47 Checks the hardening options in the Linux kernel config
  48
  49 optional arguments:
  50   -h, --help            show this help message and exit
  51   -p {X86_64,X86_32,ARM64,ARM}, --print {X86_64,X86_32,ARM64,ARM}
  52                         print hardening preferences for selected architecture
  53   -c CONFIG, --config CONFIG
  54                         check the config_file against these preferences
  55   --debug               enable verbose debug mode
  56   --json                print results in JSON format
  57 ```
  58
  59 ## Output for `Ubuntu 18.04 (Bionic Beaver with HWE)` kernel config
  60 ```
  61 $ ./bin/kconfig-hardened-check -c kconfig_hardened_check/config_files/distros/ubuntu-bionic-generic.config
  62 [+] Trying to detect architecture in "kconfig_hardened_check/config_files/distros/ubuntu-bionic-generic.config"...
  63 [+] Detected architecture: X86_64
  64 [+] Trying to detect kernel version in "kconfig_hardened_check/config_files/distros/ubuntu-bionic-generic.config"...
  65 [+] Found version line: "# Linux/x86 5.3.0-28-generic Kernel Configuration"
  66 [+] Detected kernel version: 5.3
  67 [+] Checking "kconfig_hardened_check/config_files/distros/ubuntu-bionic-generic.config" against X86_64 hardening preferences...
  68 =========================================================================================================================
  69                  option name                 | desired val | decision |       reason       |   check result
  70 =========================================================================================================================
  71 CONFIG_BUG                                   |      y      |defconfig |  self_protection   |   OK
  72 CONFIG_STRICT_KERNEL_RWX                     |      y      |defconfig |  self_protection   |   OK
  73 CONFIG_STACKPROTECTOR_STRONG                 |      y      |defconfig |  self_protection   |   OK
  74 CONFIG_SLUB_DEBUG                            |      y      |defconfig |  self_protection   |   OK
  75 CONFIG_STRICT_MODULE_RWX                     |      y      |defconfig |  self_protection   |   OK
  76 CONFIG_GCC_PLUGINS                           |      y      |defconfig |  self_protection   |   FAIL: not found
  77 CONFIG_REFCOUNT_FULL                         |      y      |defconfig |  self_protection   |   FAIL: "is not set"
  78 CONFIG_IOMMU_SUPPORT                         |      y      |defconfig |  self_protection   |   OK
  79 CONFIG_MICROCODE                             |      y      |defconfig |  self_protection   |   OK
  80 CONFIG_RETPOLINE                             |      y      |defconfig |  self_protection   |   OK
  81 CONFIG_X86_SMAP                              |      y      |defconfig |  self_protection   |   OK
  82 CONFIG_X86_UMIP                              |      y      |defconfig |  self_protection   |   OK: CONFIG_X86_INTEL_UMIP "y"
  83 CONFIG_SYN_COOKIES                           |      y      |defconfig |  self_protection   |   OK
  84 CONFIG_PAGE_TABLE_ISOLATION                  |      y      |defconfig |  self_protection   |   OK
  85 CONFIG_RANDOMIZE_MEMORY                      |      y      |defconfig |  self_protection   |   OK
  86 CONFIG_INTEL_IOMMU                           |      y      |defconfig |  self_protection   |   OK
  87 CONFIG_AMD_IOMMU                             |      y      |defconfig |  self_protection   |   OK
  88 CONFIG_VMAP_STACK                            |      y      |defconfig |  self_protection   |   OK
  89 CONFIG_RANDOMIZE_BASE                        |      y      |defconfig |  self_protection   |   OK
  90 CONFIG_THREAD_INFO_IN_TASK                   |      y      |defconfig |  self_protection   |   OK
  91 CONFIG_BUG_ON_DATA_CORRUPTION                |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
  92 CONFIG_DEBUG_WX                              |      y      |   kspp   |  self_protection   |   OK
  93 CONFIG_SCHED_STACK_END_CHECK                 |      y      |   kspp   |  self_protection   |   OK
  94 CONFIG_SLAB_FREELIST_HARDENED                |      y      |   kspp   |  self_protection   |   OK
  95 CONFIG_SLAB_FREELIST_RANDOM                  |      y      |   kspp   |  self_protection   |   OK
  96 CONFIG_SHUFFLE_PAGE_ALLOCATOR                |      y      |   kspp   |  self_protection   |   OK
  97 CONFIG_FORTIFY_SOURCE                        |      y      |   kspp   |  self_protection   |   OK
  98 CONFIG_GCC_PLUGIN_RANDSTRUCT                 |      y      |   kspp   |  self_protection   |   FAIL: not found
  99 CONFIG_GCC_PLUGIN_LATENT_ENTROPY             |      y      |   kspp   |  self_protection   |   FAIL: not found
 100 CONFIG_DEBUG_LIST                            |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 101 CONFIG_DEBUG_SG                              |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 102 CONFIG_DEBUG_CREDENTIALS                     |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 103 CONFIG_DEBUG_NOTIFIERS                       |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 104 CONFIG_HARDENED_USERCOPY                     |      y      |   kspp   |  self_protection   |   OK
 105 CONFIG_HARDENED_USERCOPY_FALLBACK            | is not set  |   kspp   |  self_protection   |   FAIL: "y"
 106 CONFIG_MODULE_SIG                            |      y      |   kspp   |  self_protection   |   OK
 107 CONFIG_MODULE_SIG_ALL                        |      y      |   kspp   |  self_protection   |   OK
 108 CONFIG_MODULE_SIG_SHA512                     |      y      |   kspp   |  self_protection   |   OK
 109 CONFIG_MODULE_SIG_FORCE                      |      y      |   kspp   |  self_protection   |   FAIL: "is not set"
 110 CONFIG_INIT_STACK_ALL                        |      y      |   kspp   |  self_protection   |   FAIL: not found
 111 CONFIG_INIT_ON_ALLOC_DEFAULT_ON              |      y      |   kspp   |  self_protection   |   OK
 112 CONFIG_INIT_ON_FREE_DEFAULT_ON               |      y      |   kspp   |  self_protection   |   OK: CONFIG_PAGE_POISONING "y"
 113 CONFIG_GCC_PLUGIN_STACKLEAK                  |      y      |   kspp   |  self_protection   |   FAIL: not found
 114 CONFIG_STACKLEAK_METRICS                     | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_STACKLEAK is needed
 115 CONFIG_STACKLEAK_RUNTIME_DISABLE             | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_STACKLEAK is needed
 116 CONFIG_DEFAULT_MMAP_MIN_ADDR                 |    65536    |   kspp   |  self_protection   |   OK
 117 CONFIG_SECURITY_DMESG_RESTRICT               |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 118 CONFIG_DEBUG_VIRTUAL                         |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 119 CONFIG_STATIC_USERMODEHELPER                 |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 120 CONFIG_SLAB_MERGE_DEFAULT                    | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 121 CONFIG_GCC_PLUGIN_RANDSTRUCT_PERFORMANCE     | is not set  |  clipos  |  self_protection   |   FAIL: CONFIG_GCC_PLUGIN_RANDSTRUCT is needed
 122 CONFIG_RANDOM_TRUST_BOOTLOADER               | is not set  |  clipos  |  self_protection   |   OK: not found
 123 CONFIG_RANDOM_TRUST_CPU                      | is not set  |  clipos  |  self_protection   |   FAIL: "y"
 124 CONFIG_INTEL_IOMMU_SVM                       |      y      |  clipos  |  self_protection   |   OK
 125 CONFIG_INTEL_IOMMU_DEFAULT_ON                |      y      |  clipos  |  self_protection   |   FAIL: "is not set"
 126 CONFIG_SLUB_DEBUG_ON                         |      y      |    my    |  self_protection   |   FAIL: "is not set"
 127 CONFIG_RESET_ATTACK_MITIGATION               |      y      |    my    |  self_protection   |   OK
 128 CONFIG_AMD_IOMMU_V2                          |      y      |    my    |  self_protection   |   FAIL: "m"
 129 CONFIG_SECURITY                              |      y      |defconfig |  security_policy   |   OK
 130 CONFIG_SECURITY_YAMA                         |      y      |   kspp   |  security_policy   |   OK
 131 CONFIG_SECURITY_WRITABLE_HOOKS               | is not set  |    my    |  security_policy   |   OK: not found
 132 CONFIG_SECURITY_LOCKDOWN_LSM                 |      y      |  clipos  |  security_policy   |   FAIL: not found
 133 CONFIG_SECURITY_LOCKDOWN_LSM_EARLY           |      y      |  clipos  |  security_policy   |   FAIL: not found
 134 CONFIG_LOCK_DOWN_KERNEL_FORCE_CONFIDENTIALITY|      y      |  clipos  |  security_policy   |   FAIL: not found
 135 CONFIG_SECURITY_LOADPIN                      |      y      |    my    |  security_policy   |   FAIL: "is not set"
 136 CONFIG_SECURITY_LOADPIN_ENFORCE              |      y      |    my    |  security_policy   |   FAIL: CONFIG_SECURITY_LOADPIN is needed
 137 CONFIG_SECURITY_SAFESETID                    |      y      |    my    |  security_policy   |   OK
 138 CONFIG_SECCOMP                               |      y      |defconfig | cut_attack_surface |   OK
 139 CONFIG_SECCOMP_FILTER                        |      y      |defconfig | cut_attack_surface |   OK
 140 CONFIG_STRICT_DEVMEM                         |      y      |defconfig | cut_attack_surface |   OK
 141 CONFIG_MODULES                               | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 142 CONFIG_DEVMEM                                | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 143 CONFIG_IO_STRICT_DEVMEM                      |      y      |   kspp   | cut_attack_surface |   FAIL: "is not set"
 144 CONFIG_LEGACY_VSYSCALL_NONE                  |      y      |   kspp   | cut_attack_surface |   FAIL: "is not set"
 145 CONFIG_ACPI_CUSTOM_METHOD                    | is not set  |   kspp   | cut_attack_surface |   OK
 146 CONFIG_COMPAT_BRK                            | is not set  |   kspp   | cut_attack_surface |   OK
 147 CONFIG_DEVKMEM                               | is not set  |   kspp   | cut_attack_surface |   OK
 148 CONFIG_COMPAT_VDSO                           | is not set  |   kspp   | cut_attack_surface |   OK
 149 CONFIG_BINFMT_MISC                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "m"
 150 CONFIG_INET_DIAG                             | is not set  |   kspp   | cut_attack_surface |   FAIL: "m"
 151 CONFIG_KEXEC                                 | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 152 CONFIG_PROC_KCORE                            | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 153 CONFIG_LEGACY_PTYS                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 154 CONFIG_HIBERNATION                           | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 155 CONFIG_IA32_EMULATION                        | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 156 CONFIG_X86_X32                               | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 157 CONFIG_MODIFY_LDT_SYSCALL                    | is not set  |   kspp   | cut_attack_surface |   FAIL: "y"
 158 CONFIG_OABI_COMPAT                           | is not set  |   kspp   | cut_attack_surface |   OK: not found
 159 CONFIG_X86_PTDUMP                            | is not set  |grsecurity| cut_attack_surface |   OK
 160 CONFIG_ZSMALLOC_STAT                         | is not set  |grsecurity| cut_attack_surface |   OK
 161 CONFIG_PAGE_OWNER                            | is not set  |grsecurity| cut_attack_surface |   OK
 162 CONFIG_DEBUG_KMEMLEAK                        | is not set  |grsecurity| cut_attack_surface |   OK
 163 CONFIG_BINFMT_AOUT                           | is not set  |grsecurity| cut_attack_surface |   OK: not found
 164 CONFIG_KPROBES                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 165 CONFIG_UPROBES                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 166 CONFIG_GENERIC_TRACER                        | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 167 CONFIG_PROC_VMCORE                           | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 168 CONFIG_PROC_PAGE_MONITOR                     | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 169 CONFIG_USELIB                                | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 170 CONFIG_CHECKPOINT_RESTORE                    | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 171 CONFIG_USERFAULTFD                           | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 172 CONFIG_HWPOISON_INJECT                       | is not set  |grsecurity| cut_attack_surface |   FAIL: "m"
 173 CONFIG_MEM_SOFT_DIRTY                        | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 174 CONFIG_DEVPORT                               | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 175 CONFIG_DEBUG_FS                              | is not set  |grsecurity| cut_attack_surface |   FAIL: "y"
 176 CONFIG_NOTIFIER_ERROR_INJECTION              | is not set  |grsecurity| cut_attack_surface |   FAIL: "m"
 177 CONFIG_ACPI_TABLE_UPGRADE                    | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 178 CONFIG_X86_IOPL_IOPERM                       | is not set  | lockdown | cut_attack_surface |   OK: not found
 179 CONFIG_EFI_TEST                              | is not set  | lockdown | cut_attack_surface |   FAIL: "m"
 180 CONFIG_BPF_SYSCALL                           | is not set  | lockdown | cut_attack_surface |   FAIL: "y"
 181 CONFIG_MMIOTRACE_TEST                        | is not set  | lockdown | cut_attack_surface |   OK
 182 CONFIG_X86_INTEL_TSX_MODE_OFF                |      y      |  clipos  | cut_attack_surface |   OK
 183 CONFIG_STAGING                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 184 CONFIG_KSM                                   | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 185 CONFIG_KALLSYMS                              | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 186 CONFIG_X86_VSYSCALL_EMULATION                | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 187 CONFIG_MAGIC_SYSRQ                           | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 188 CONFIG_KEXEC_FILE                            | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 189 CONFIG_USER_NS                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 190 CONFIG_X86_MSR                               | is not set  |  clipos  | cut_attack_surface |   FAIL: "m"
 191 CONFIG_X86_CPUID                             | is not set  |  clipos  | cut_attack_surface |   FAIL: "m"
 192 CONFIG_LDISC_AUTOLOAD                        | is not set  |  clipos  | cut_attack_surface |   FAIL: "y"
 193 CONFIG_AIO                                   | is not set  |grapheneos| cut_attack_surface |   FAIL: "y"
 194 CONFIG_MMIOTRACE                             | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 195 CONFIG_LIVEPATCH                             | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 196 CONFIG_IP_DCCP                               | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 197 CONFIG_IP_SCTP                               | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 198 CONFIG_FTRACE                                | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 199 CONFIG_BPF_JIT                               | is not set  |    my    | cut_attack_surface |   FAIL: "y"
 200 CONFIG_VIDEO_VIVID                           | is not set  |    my    | cut_attack_surface |   FAIL: "m"
 201 CONFIG_INTEGRITY                             |      y      |defconfig |userspace_hardening |   OK
 202 CONFIG_ARCH_MMAP_RND_BITS                    |     32      |  clipos  |userspace_hardening |   FAIL: "28"
 203
 204 [+] config check is finished: 'OK' - 55 / 'FAIL' - 77
 205 ```
 206
 207 ## kconfig-hardened-check versioning
 208
 209 I usually update the kernel hardening recommendations after each Linux kernel release.
 210
 211 So the version of `kconfig-hardened-check` is associated with the corresponding version of the kernel.
 212
 213 The version format is: __[major_number].[kernel_version]__
 214
 215 The current version of `kconfig-hardened-check` is __0.5.5__, it's marked with the git tag.
 216
 217
 218 ## Questions and answers
 219
 220 __Q:__ How disabling `CONFIG_USER_NS` cuts the attack surface? It's needed for containers!
 221
 222 __A:__ Yes, the `CONFIG_USER_NS` option provides some isolation between the userspace programs,
 223 but the tool recommends disabling it to cut the attack surface __of the kernel__.
 224
 225 The rationale:
 226
 227   - A nice LWN article about the corresponding LKML discussion: https://lwn.net/Articles/673597/
 228
 229   - A twitter thread about `CONFIG_USER_NS` and security: https://twitter.com/robertswiecki/status/1095447678949953541
 230
 231 <br />
 232
 233 __Q:__ Why `CONFIG_GCC_PLUGINS` is automatically disabled during the kernel compilation?
 234
 235 __A:__ It means that your gcc doesn't support plugins. For example, if you have `gcc-7` on Ubuntu,
 236 try to install `gcc-7-plugin-dev` package, it should help.
 237
 238 <br />
 239
 240 __Q:__ KSPP and CLIP OS recommend `CONFIG_PANIC_ON_OOPS=y`. Why doesn't this tool do the same?
 241
 242 __A:__ I personally don't support this recommendation because it provides easy denial-of-service
 243 attacks for the whole system (kernel oops is not a rare situation). I think having `CONFIG_BUG` is enough here --
 244 if we have a kernel oops in the process context, the offending/attacking process is killed.
 245
 246 [1]: http://kernsec.org/wiki/index.php/Kernel_Self_Protection_Project/Recommended_Settings
 247 [2]: https://docs.clip-os.org/clipos/kernel.html#configuration
 248 [3]: https://grsecurity.net/
 249 [4]: https://github.com/a13xp0p0v/linux-kernel-defence-map