bpf: Add kconfig knob for disabling unpriv bpf by default
authorDaniel Borkmann <daniel@iogearbox.net>
Tue, 11 May 2021 20:35:17 +0000 (22:35 +0200)
committerAlexei Starovoitov <ast@kernel.org>
Tue, 11 May 2021 20:56:16 +0000 (13:56 -0700)
commit08389d888287c3823f80b0216766b71e17f0aba5
tree6d5c9fc6185c944141c44c00dcafa22901156908
parentb24abcff918a5cbf44b0c982bd3477a93e8e4911
bpf: Add kconfig knob for disabling unpriv bpf by default

Add a kconfig knob which allows for unprivileged bpf to be disabled by default.
If set, the knob sets /proc/sys/kernel/unprivileged_bpf_disabled to value of 2.

This still allows a transition of 2 -> {0,1} through an admin. Similarly,
this also still keeps 1 -> {1} behavior intact, so that once set to permanently
disabled, it cannot be undone aside from a reboot.

We've also added extra2 with max of 2 for the procfs handler, so that an admin
still has a chance to toggle between 0 <-> 2.

Either way, as an additional alternative, applications can make use of CAP_BPF
that we added a while ago.

Signed-off-by: Daniel Borkmann <daniel@iogearbox.net>
Signed-off-by: Alexei Starovoitov <ast@kernel.org>
Link: https://lore.kernel.org/bpf/74ec548079189e4e4dffaeb42b8987bb3c852eee.1620765074.git.daniel@iogearbox.net
Documentation/admin-guide/sysctl/kernel.rst
kernel/bpf/Kconfig
kernel/bpf/syscall.c
kernel/sysctl.c