Man kann sich mit Epoptes selbst aussperren

[Rüdiger Kupper]

Das passirt sogar sehr leicht. Normalerweise ist vorgesehen, dass sich die Rechner z.B. in einem Klassenraum mit einem Server im gleichen Raum verbinden: Dem Rechner, an dem der Lehrer sitzt. Auf diesem läuft der Epoptes-Server, auf den Schülerrechner die Clients. Auf dem Lehrerrechner läuft natürlich kein Client, so dass der sich nicht selbst als Client sieht.
Wir machen es bei uns etwas komplizierter (oder einfacher, je nach Sichtweise): Wir haben für die ganze Schule einen einzigen dedizierten Epoptes-Server (derzeit ltsp6). Dort melden sich alle Clients an. Der Lehrer sitzt natürlich nie am ltsp6, sondern an irgend einem Client im Schulhaus. Von da aus startet er ein Skript, dass sich per ssh auf dem ltsp6 einloggt und dort epoptes startet. Für den Lehrer ist das transparent, es wirkt, als würde Epoptes auf dem Rechner laufen, an dem er sitzt.
Für den Server erscheint dieser vom Lehrer genutzte Rechner aber wie ein normaler Client, den man damit fernsteuern kann. Daher kann der Lehrer sich z.B. selbst den Bildschirm sperren (und dann nicht wieder entsperren), oder seinen eigenen Rechner herunterfahren. Versucht man, seinen Bildschirminhalt auf den eigenen Client zu übertragen, generiert man eine unendliche Schleife (Client per VNC zum Server, von dert per X-über-SSH zurück zum Client). Ergebnis: unendliche Replikation, die die Steuerung unmöglich macht, oder, so war es am Freitag bei mir im Info-Unterricht, einfach nur scshwarze Bildschirme.

Es passiert nun leicht, dass der Lehrer seinen eigenen Client versehentlich ansteuert. Ich saß z.B. im 1-09 an einem Client und wollte eben mal meinen Bildschirm an alle übertragen. Seit einiger Zeit werden ja für die Computerräume passende Epoptes-Gruppen erstellt. Also habe ich alle Rechner in 1-09 ausgewählt und die Übertragung gestartet. Ergebnis: Überall nur noch schwarze Bildschirme, ich musste mich an der Konsole einloggen und meine Prozesse killen...

Ideen:

• Die Freigabe des eigenen Bilschirms verhindern wir ja bereits für Lehrer durch ein spezielles Skript -- nicht aber das Empfangen von Daten, wie ich gemerkt habe.
• Das Lehrer-Skript muss so angepasst werden, dass der Client eines Lehrers gar keine Fernsteuerung vom Epoptes-Server erlaubt.
• Falls das nicht geht (z.B. läuft auf dem Client auch immer ein epoptes-client-Prozess für root, damit die Fernsteuerung auch klappt, falls gar kein Nutzer eingeloggt ist), dann muss unser Starter-Skript diesen Root-Client suspendieren, bevor die SSH-Verbindung hergestellt wird.

[Rüdiger Kupper]

Zurückgestellt. Epoptes wird derzeit nicht genutzt. Könnte aber zumindest für die Computerräume wiederbelebt werden.