Laptops zur Netzwerkadministration

Die Netzwerkadministratoren arbeiten derzeit mit zwei Lenovo X230 Tablet Notebooks. Diese Seite enthält einige Vorschläge zur Einrichtung dieser Notebooks.

Die Inhalte dieser Seite beziehen sich auf die Ubuntu.Version 13.04 (Raring Ringtail).

Ubuntu 13.04 Raring Ringtail

Ubuntu Raring ist (noch) kein Release, der speziell für Tablets gestaltet wurde. Demensprechend funktionieren einige der für die X230t wünschenswerten Features bereits out-of-the-box, andere erst mit manuellen Maßnahmen. Einige wenige Features werden wohl erst mit dem ausdrücklich für Tablets gestalteten Release 14.04 funktionieren.

Fingerprint Reader

Der Fingerprint Reader wird out-of-the-box überhaupt nicht unterstützt. Es existieren mehrere externe Pakete zur Unterstützung, allerdings ist der Fingerprint Reader des X320 ein sehr neues Modell, das noch nicht von allen unterstützt wird.

Meine Empfehlung ist das Paket fprintd, das ist recht modern und unterstützt in der neusten Version auch den X230-Reader.

Installation

PPA des “Fingerprint readers integration” teams

Die Version von fprintd in den Ubuntu-Paketquellen unterstützt den X230-Reader noch nicht, man muss daher die neuste Version verwenden, die sich in einem ​PPA befindet. (Ab der nächsten Ubuntu-Version sollte das dann überflüssig sein.)

Das PPA aktiviert man mit

sudo add-apt-repository ppa:fingerprint/fprint

Demoprogramm zum üben

Möchte man das Einscannen des Fingerabdrucks "üben", bevor man den endgültigen Abdruck abgibt, installiert man zuerst das Paket fprint-demo. Es ist ein reines Demo-Programm, das noch keine echte Atthentifizierung erlaubt:

sudo apt-get install fprint-demo

Das Programm kann über den Laucher oder die Kommandozeile gestartet werden.

Authentifizierung per Fingerabdruck

Die zur echten Authentifizierung per Fingerscan nötigen Pakete werden installiert mit

sudo apt-get install libpam-fprintd

Danach wird der Fingerabruck hinterlegt mit

fprintd-enroll

(ohne sudo!)

Hinweis

Obgleich die Manpage anderes behauptet, kann derzeit ausschließlich der Abduck eines einzigen Fingers hinterlegt werden, der stets als "right index finger" bezeichnet wird. (Natürlich ist es dem Nutzer überlassen, welchen Finger er wirklich benutzt. Es wird aber nur einer unterstützt, siehe Bugreport ​launchpad:1170733).

Verwendung

Die Authentifizierung per Fingerabdruck kann nun im Benutzerverwaltungsdialog der Systemeinstellungen für jeden Nutzer individuell aktiviert werden.

Danach wird bei jeder Authentifizierung zunächst der Fingerprintreader abgefragt. Dies wird nicht immer durch eine Botschaft am Bildschirm angegeben. Eindeutig ist nur das Leuchten der grünen LED am Fingerprint Reader.

Der Fingerprint Reader der X230 ist meiner Ansicht nach recht unpraktisch angebracht, jedenfalls, solange man nur den Abdruck eines einzigen Fingers hinterlegen kann (s.o). Er kann aber immerhin in beiden Richtungen verwendet werden und ist recht flexibel, was Geschwindigkeit, Orientierung und Länge des Scans betrifft. An meinem Gerät ist der Reader zudem nicht hundertprozentig im Gehäuse versenkt sondern steht ein wenig vor und bildet so eine scharfe Kante. Das führt dazu, dass der Reader schon nach kurzer Nutzung verschmutzt und oft gereinigt werden muss.)

Ein Nachteil der derzeitigen Implementation ist, dass zunächst immer der Fingerprint Reader abgefragt wird. In dieser Zeit ist keine Eingabe des Passworts möglich. Erst nach einigen Sekunden passiert ein Timeout, und dann wird auf konventionellem Wege das Passwort abgefragt.

Sicherheitsaspekte

Zur Sicherheit zu beachten sind

• ​launchpad:1170640
• dass Authentifizierung per Fingerabdruck die Zugangssicherheit keineswegs verbessert, sondern im Gegenteil erhablich verschlechtert. Authentifizierung per Fingerabdruck an einem Gerät, das man unablässig mit den Finger bearbeitet, ist ungefähr so sicher, wie seine PIN direkt auf der EC-Karte zu notieren! Die Abdrücke können mit gängigen Drogeriemitteln vom Gerät abgenommen und zur Authentifizierung verwendet werden. Authentifizeriung per Fingerabdruck ist als reines Komfortmerkmal für Geräte zu sehen, die keine sicherheitsrelevanten Daten enthalten. Referenzen:
  • ​http://www.youtube.com/watch?v=gB4u_aA6R2Y
  • ​http://www.heise.de/security/meldung/CCC-publiziert-die-Fingerabdruecke-von-Wolfgang-Schaeuble-Update-193732.html

Helligkeitstasten

Dieses Problem scheint behoben zu sein.

Anpassungen sind nicht mehr nötig, ich lasse den Text vorsichtshalber noch eine Weile stehen.

Mit dem aktuellen Kernel funktionieren die Tasten zu Steuerung der Bildschirmhelligkeit nicht (​launchpad:1098216). Dahinter steckt eine Änderung, die uns Microsoft eingebrockt hat. Windows 8 spezifiziert nämlich, dass es neuerdings 128 Abstufungen für die Helligkeit geben muss, statt wie bisher 16. Der Linux-Kernel spielt der Hardware normalerweise vor, ein Windows zu sein, um sie dazu zu bewegen, einige Features freizugeben. In diesem Fall ist das aber kontraproduktiv, weil die Helligkeitstasten dann nicht funktionieren.

Bis dieser Schönheitsfehler behoben ist, kann man dem Kernel einfach sagen, dass er jedenfalls bitte nicht Windows 8 spielen soll, dann melden die Tasten nämlich die üblichen 16 Abstufungen und funktionieren.

Das erreicht man, indem man dem Bootmenü eine Kerneloption hinzufügt: In der Datei /etc/defaults/grub ist die Zeile

GRUB_CMDLINE_LINUX_DEFAULT="quiet splash"

zu ändern in

GRUB_CMDLINE_LINUX_DEFAULT="quiet splash  acpi_osi='!Windows 2012'"

(Parameter acpi_osi hinzufügen.)

Danach ein

sudo update-grub

und die Tasten funktionieren wieder.

Auch dieser Workaround wird vermutlich bald nicht mehr nötig sein.

Das Geheimnis des Metallrings

Im Säckchen mit den Ersatzminen für den Digitalstift liegt ein kleiner Metallring mit Öffnung. Nach langem rätseln hat googeln geholfen: Der Ring ist als Pinzette gedacht, um die Minen aus dem Stift zu ziehen ;-).

Verschlüsselte Homeverzeichnisse zum Datenschutz

Für den Fall, dass auf den Notebooks personenbezogene Daten gespeichert werden, verlangt die ​Verwaltungsvorschrift "Datenschutz an öffentlichen Schulen" des Kutusministeriums einen speziellen Schutz.

Die Vorschrift enthält zu Nutzung privater Datenverarbeitungsgeräte durch Lehrkräfte den Satz:

Lehrkräfte, die sich schriftlich zur Beachtung der datenschutzrechtlichen Hinweise der Anlage 3 zu dieser Verwaltungsvorschrift verpflichtet haben, dürfen zur Erfüllung ihrer Aufgaben private Datenverarbeitungsgeräte zur Verarbeitung personenbezogener Daten verwenden. Sie haben sicherzustellen, dass diese Daten vor dem Zugriff Dritter geschützt sind und spätestens nach dem Ende des jeweils nächsten Schuljahres auf dem privaten Datenverarbeitungsgerät gelöscht oder gesperrt werden. Für die Löschung und Sperrung der Daten ist Abschnitt I. Nr. 4 und Nr. 5 dieser Verwaltungsvorschrift zu beachten.

Maßnahmen

Konkrete Maßnahmen sind in ​Anlage 3 zur Verwaltungsvorschrift vorgeschlagen:

Die Daten auf privaten Datenverarbeitungsgeräten können durch folgende Maßnahmen geschützt werden:

• Das private Datenverarbeitungsgerät wird durch ein geheimes Passwort geschützt.
• Das private Datenverarbeitungsgerät sollte nicht von Dritten genutzt werden. Sollte dies nicht zu vermeiden sein, sollten verschiedene Benutzerprofile eingerichtet und der Zugriff auf die dienstliche Daten geschützt werden.
• Das eingesetzte Betriebssystem wird mit den jeweils neuesten Sicherheitsupdates geschützt.
• Soweit sich das Datenverarbeitungsgerät im Internet befindet oder andere Schnittstellen nach außen besitzt, muss neben dem Browser, ein Virenschutzprogramm und eine Firewall verwendet werden, für deren Aktualität (automatische Updatefunktion) zu sorgen ist.
• Bei der Nutzung von Webportalen darf das eingegebene Passwort nicht im Browser für weitere Sitzungen gespeichert werden. Dies verhindert die unberechtigte Nutzung des Webportals durch andere Nutzer Ihres privaten Umfelds, z. B. durch im Haushalt wohnende Kinder.
• Die Nutzung fremder Internetzugänge (z. B. in Internet-Cafes oder Hot-Spots an öffentlichen Plätzen) ist verboten.
• Legen Sie die dienstlichen Daten nur auf verschlüsselten und durch Passwörter geschützten Datenträgern ab. Empfohlen wird z. B. ein USB-Stick, auf dem die Daten verschlüsselt abgelegt werden und der durch ein Passwort geschützt ist.

Accounts und Updates

Was Passwortschutz, Accounttrennung und regelmäßige Updates betrifft, sind wir mit Linux ohnehin auf der sicheren Seite. Die Hinweise zu Virenscanner und Firewall dürfen wir wohl als dringende Empfehlung für Windows-Betriebssysteme verstehen. Für Linux existieren kaum Viren und eine Standardinstallation von Linux hat, im Gegensatz zu Windows, keinerlei Dienste auf irgendwelchen Ports laufen, die von außen erreichbar sind -- außer der Administrator richtet sie willentlich ein. (Und in diesem Fall würde er dann auch den entsprechenden Port in der Firwall freischalten). Somit erübrigen sich Virenscanner und Firewall.

Verschlüsselung

Bleibt die Verschlüsselung der Datenträger. Hier bietet Ubuntu bereits eine fertig integrierte Lösung mittels ecrptfs an. Die Verschlüsselung des Homeverzeichnisses kann bereits bei der Installation gewählt werden. Sie kann jederzeit nachträglich aktiviert werden:

Installation

sudo apt-get install ecrpytfs-utils

Einmaliges Aufsetzen der Verschlüsselung

Der folgende Vorgang gilt als "gefährlich", weil er beim Mißlingen zu Datenverlust führen oder den Nutzer ausschließen könnte. Faktisch habe ich die Prozedur schon mehrfach durchgeführt und sie ist stets ganz problemlos verlaufen. Zur Sicherheit sei empfohlen, zuvor einen LVM-Snapshot des Homedevices anzulegen (und natürlich nach erfolgreicher Durchführung wieder zu löschen!)

Für jeden Nutzer, dessen Homeverzeichnis veschlüsselt werden soll:

sudo ecryptfs-migrate-home -u USER

Hinweis

Der Befehl erhält eine unverschlüsselte Kopie des Homeverzeichnisses, in letzten Zustand. Diese Kopie muss später von Hand gelöscht werden, wenn alles funktioniert. Alles weitere in der Manpage von ecryptfs-migrate-home.

Swap verschlüsseln

Nachdem die Homeverzeichnisse verschlüsselt sind, sollte unbedingt auch der Swap verschlüsselt werden, da die Verschlüsselung der Dateien nichts nutzt, wenn unverschlüsselte Teile während der Bearbeitung in den Swap ausgelagert werden!

sudo ecryptfs-setup-swap

Danach die Einträge in /etc/fstab und /etc/crypttab kontrollieren!

Touchscreen als Eingabegerät

Die Touchscreen wird als Eingabegerät derzeit nur rudimentär unterstützt: Wie jedes andere HID auch kann sie den Mauszeiger steuern und einige Mausaktionen ausführen:

Zeigen und ziehen

zeigen und ziehen funktioniert intuitiv zur tippen und ziehen auf der Oberfläche.

Rechtsklick

Rechtsklick wird ausgeführt, indem man einen Finger auf der Oberfläche liegen lässt und dann mit einem weiteren Finger tippt.

Mittelklick

Bisher habe ich keine Möglichkeit gefunden, einen Mittelklick auszuführen.

Rollen

Fensterhinhalte lassen sich rollen, indem man den Fensterinhalt mit zwei oder mehr Fingern in die gewünschte Richtung schiebt.

Unter Ubuntu Raring ist die "rotieren"-Taste auf dem Gehäuse der Touchscreen belegt: Drückt man die Taste, so rotiert der Bilschirminhalt in 90°-Schritten. Leider ist diese Funktion weitgehend unbrauchbar, weil die Touchscreen als Eingabegerät nicht synchron mitrotiert wird. In- und Output weichen also voneinander ab, was die Benutzung praktisch unmöglich macht.

Um eine sinnvolle Funktionalität der Touchscreen (und des Digitalstiftes) zu erhalten, sind derzeit mindestens zwei Softwarepakete zu installieren. Es steht zu hoffen, das diese Funktionalität in zukünftigen Ubuntu-Versionen von Haus aus enthalten sein wird. Es handelt sich um die beiden Pakete think-rotate und magick-rotation. Beide sind (noch) nicht Teil der Ubuntu-Paketquellen.

Die beiden Pakete bieten überlappende Funktionen:

• Beide erlauben, den Bilschirminhalt synchron mit dem Touch-Device zu rotieren.
• Beide erlauben, das Touch-Device ein- und auszuschalten. (Diese Funktion ist bei magick-rotation aber derzeit wegen Inkompatitbilität mit den aktuellen Unity- und Gnome-Shell-Versionen nicht erreichbar.
• Magick-rotation fragt die Stellung des Notebookdeckels ab und rotiert den Bildschirm samt Touch-Device passend, wenn sich das Notebook im "Tablet-Modus" befindet. Es kann passend dazu auch die Bildschirmtastatur ein- und ausschalten.
• Think-rotate weist dem dritten Knopf am Rahmen (rotiertes Rechteck) einen Tastencode zu, der sich auch tatsächlich abfragen lässt. (Per Default hat die Taste einen Keycode, mit dem sich nichts anfangen lässt, ich halte das für einen Bug in der Ubuntu-Konfiguration). Damit kann man diesem Knopf eine Funktion zuweisen.
• Think-rotate bietet noch andere Funktionalität, mit der ich mich nicht weiter befasst habe, u.a.:
  • Macht den Knopf "Mikrofon ausschalten" aktiv
  • Sorgt für korrekte Speichern des Gerätezustands bei Suspend/Resume und beim Andocken an eine Docking Station.

Installation von Magick-Rotation

Das Paket erwartet, dass gksu auf dem System installiert ist (​launchpad:1173062), also:

$ sudo apt-get install gksu

Das Projekt magick-rotation ist auf der Open-Source-Platform von Canonical gehostet. Es gibt leider kein PPA, man lädt die jeweils aktuelle Version herunter von ​https://launchpad.net/magick-rotation (rechts unter Downloads).

Man erhält ein *.tar.bz-File, das man entpackt und die Installationsroutine aufruft:

Hinweis

Die folgenden Kommandos sollten als normaler Nutzer ausgeführt werden, da das Skript den Nutzer automatisch in die Gruppe "magick" aufnimmt. Ansonsten muss man das für den Nutzer nachträgluch von Hand tun.

$ tar -xjf magick-rotation-1.6.2.tar.bz2 
$ cd magick-rotation-1.6.2/
$ ./MAGICK-INSTALL 

Achtung, wenn man zuvor den Fingerprint-Reader aktiviert hat (s.o.), dann fragt die Installationsroutine den Fingerprintreader ab, ohne dass am Bildschirm etwas erscheint. Auf die LED am Reader achten!

Installation von Think-Rotate

Homepage: ​http://martin-ueding.de/projects/think-rotate/de.html.

Für das Projekt gibt es ein Ubuntu-PPA, (von Martin Ürding) die Installation ist entsprechend einfach:

$ add-apt-repository ppa:martin-ueding/stable
$ apt-get update
$ apt-get install think-rotate

Einrichten

Mit den beiden Paketen sind verschiedene Setups möglich, ich beschreibe hier das Setup, mit dem ich mich "angefreundet" habe ;-).

Rotieren-Taste

Durch Drücken der "rotieren"-Taste auf dem Gehäuse überzeugt man sich davon, dass nun nicht nur der Bildschirm, sondern auf das Touch-Device schrittweise um 90° rotiert wird.

Automatisches Rotieren

Wir bringen magick-rotation bei, den Bildschirm (und synchron dazu das Touchdevice) um 180° zu drehen und die Standard-Ubuntu-Bildschirmtastatur zu aktivieren, wenn man das Notbook zum Tablet umformt. Normalerweise ist das Konfigurationsmenü von magick-rotation über ein Symbol im Panel erreichbar (grüner Pfeil). Weil der Programmierer des Pakets es aber nicht für nötig hält, mit den inzwischen als Quasi-Standard geltenden "app-indicators" kompatibel zu sein, erscheint dieses Symbol nicht in der Taskleiste (jedenfalls nicht immer).

1. Möglichkeit

Eine Möglichkeit ist, mein Konfigurationsfile einfach zu übernehmen und in seinem Homeverzeichnis unter ~/.magick-rotation.xml abzuspeichern: attachment:".magick-rotation.xml"​

2. Möglichkeit

Alternatv kommt man an die Konfiuration folgendermaßen: Wie helfen uns, indem wir uns in der Gnome-Shell einloggen :-). Hier erscheint der "grüne Pfeil" im Kontextmenü am unteren Bildschirmrand. Ein Rechtsklick und Auswahl von Setup bringt uns ins Konfig-Menü von Magick-Rotation.

Dort setzt man:

Rotation state in tablet mode

inverted

Run after switch to tablet

onboard

Run before switch to normal

killall onboard

Ab jetzt dreht sich der Bilschirminhalt automatisch und die Bildschirmtastatur erscheint, wenn man das Notebook in den "Tablet-Modus" bringt.

---

Die Inhalte dieser Wiki-Seite erscheinen, (wo anwendbar und nicht anderweitig angegeben), unter einer Creative-Commons-Lizenz CC BY NC SA 3.0 Germany. Urheber: Dr. Rüdiger Kupper.