debian.master/config/enforce

   1 #
   2 # SECURITY items
   3 #
   4 # Ensure this option is enabled.
   5 value CONFIG_COMPAT_BRK n
   6 value CONFIG_DEVKMEM n
   7 value CONFIG_LSM_MMAP_MIN_ADDR 0
   8 value CONFIG_SECURITY y
   9 !exists CONFIG_SECURITY_FILE_CAPABILITIES | value CONFIG_SECURITY_FILE_CAPABILITIES y
  10 value CONFIG_SECURITY_SELINUX y
  11 value CONFIG_SECURITY_SMACK y
  12 value CONFIG_SECURITY_YAMA y
  13 value CONFIG_SYN_COOKIES y
  14 value CONFIG_DEFAULT_SECURITY_APPARMOR y
  15 # For architectures which support this option ensure it is enabled.
  16 !exists CONFIG_SECCOMP | value CONFIG_SECCOMP y
  17 !exists CONFIG_CC_STACKPROTECTOR | value CONFIG_CC_STACKPROTECTOR y
  18 !exists CONFIG_DEBUG_RODATA | value CONFIG_DEBUG_RODATA y
  19 !exists CONFIG_DEBUG_SET_MODULE_RONX | value CONFIG_DEBUG_SET_MODULE_RONX y
  20 !exists CONFIG_STRICT_DEVMEM | value CONFIG_STRICT_DEVMEM y
  21 # For architectures which support this option ensure it is disabled.
  22 !exists CONFIG_COMPAT_VDSO | value CONFIG_COMPAT_VDSO n
  23 # Default to 32768 on ARM, 65536 for everything else.
  24 ( ( arch armel | arch armhf ) & value CONFIG_DEFAULT_MMAP_MIN_ADDR 32768 ) | \
  25         ( value CONFIG_DEFAULT_MMAP_MIN_ADDR 65536)
  26
  27 # CONFIG_USB_DEVICE_FS breaks udev USB firmware loading and is deprecated
  28 # ensure it is disabled.
  29 value CONFIG_USB_DEVICEFS n
  30
  31 # upstart requires DEVTMPFS be enabled and mounted by default.
  32 value CONFIG_DEVTMPFS y
  33 value CONFIG_DEVTMPFS_MOUNT y
  34
  35 # some /dev nodes require POSIX ACLs, like /dev/dsp
  36 value CONFIG_TMPFS_POSIX_ACL y
  37
  38 # Ramdisk size should be a minimum of 64M
  39 value CONFIG_BLK_DEV_RAM_SIZE 65536
  40
  41 # LVM requires dm_mod built in to activate correctly (LP: #560717)
  42 value CONFIG_BLK_DEV_DM y
  43
  44 # sysfs: ensure all DEPRECATED items are off
  45 !exists CONFIG_SYSFS_DEPRECATED_V2 | value CONFIG_SYSFS_DEPRECATED_V2 n
  46 !exists CONFIG_SYSFS_DEPRECATED | value CONFIG_SYSFS_DEPRECATED n
  47
  48 # automatically add local version will cause packaging failure
  49 value CONFIG_LOCALVERSION_AUTO n
  50
  51 # provide framebuffer console form the start
  52 # UbuntuSpec:foundations-m-grub2-boot-framebuffer
  53 value CONFIG_FRAMEBUFFER_CONSOLE y
  54
  55 # GRUB changes will rely on built in vesafb on x86,
  56 # UbuntuSpec:foundations-m-grub2-boot-framebuffer
  57 #(( arch i386 | arch amd64 ) & value CONFIG_FB_VESA y) | \
  58 #       value CONFIG_FB_VESA m | !exists CONFIG_FB_VESA
  59 value CONFIG_FB_VESA m | !exists CONFIG_FB_VESA
  60
  61 # Build in uinput module so that it's always available (LP: 584812)
  62 value CONFIG_INPUT_UINPUT y
  63
  64 # upstart relies on getting all of the kernel arguments
  65 value CONFIG_INIT_PASS_ALL_PARAMS y
  66
  67 # Enabling CONFIG_IMA is vastly expensive, ensure it is off
  68 value CONFIG_IMA n
  69
  70 # Ensure CONFIG_INTEL_IDLE is turned off for -virtual.
  71 !exists CONFIG_INTEL_IDLE | \
  72         (flavour virtual & value CONFIG_INTEL_IDLE n) | \
  73         value CONFIG_INTEL_IDLE y
  74
  75 # Ensure CONFIG_IPV6 is y, if this is a module we get a module load for
  76 # every ipv6 packet, bad.
  77 value CONFIG_IPV6 y