© Computec Media GmbH

Klaus Knopper hat zum 20-jährigen Knoppix-Jubiläum die Technik des Live-Systems grundlegend überarbeitet. Zu den Überraschungen dabei zählt die zurückgekehrte integrierte CD-Mini-Version.

Seit 20 Jahren erscheint etwa halbjährlich meine Zusammenstellung von GNU/Linux-Software unter dem Namen Knoppix (Knoppers Unix System). Das System ist so ausgelegt, dass es ohne Installation von DVD, USB-Flash-Disk oder via Netzwerk fertig konfiguriert sofort läuft; man erspart sich also die sonst üblichen Fragen bei Installation und Konfiguration. Einige individuelle Programme stellen allerdings doch gelegentlich beim ersten Start ein paar Fragen, die ich nicht für alle Nutzer im Voraus beantworten kann.

Die Software-Auswahl ist eine bunte Mischung aus allen Kategorien und eignet sich zum Arbeiten, Surfen im Internet, Spielen, Unterrichten, Lehren und Lernen, Programmieren und vor allem auch zum Retten von Daten defekter Betriebssysteme. Letzteres ist für mich ein Grund, die wichtigsten Tools zur Datenrettung auch auf der Mini-Edition von Knoppix unterzubringen. Sie passt gerade noch auf einen 700 MByte großen CD-Rohling beziehungsweise in den oft nur ein paar Gigabytes großen Flash-Speicher von Mini-PCs.

Debian-Pakete-Mix als Grundlage

Die Version 9.0 [1] habe ich im Auftrag des Linux-Magazins wie in den letzten Jahren für die Chemnitzer Linux-Tage zusammengestellt. Sie basiert auf der “Next-Generation”-Version des Debian-Zweigs “Testing” (Codename “Bullseye”), in erster Linie wegen der neueren Grafikbibliotheken, die für aktuelle Hardware notwendig sind. Hinzu kommen die Migration vieler Programme von Python 2 auf Python 3 sowie die aktuellsten Versionen der Produktivitätssoftware wie LibreOffice, Gimp und Konsorten.

Um eine möglichst breite Hardware-Unterstützung zu erreichen, basiert Knoppix 9.0 auf dem Kernel 5.4.16. Das Kernel-Release 5.5 war zum Zeitpunkt der Drucklegung noch sehr neu und wenig getestet. Daher bin ich erst einmal bei der besser getesteten Version geblieben und verzichte auf die experimentellen Module für noch in Entwicklung befindliche Hardware, die üblicherweise bei den ganz neuen Kernels schon dabei sind. Um die Bildschirmdarstellung kümmern sich X.org 7.7 (Core 1.20.3) und – als optisches Schmankerl und komfortable Erweiterung zur sehr flott startenden Desktop-Oberfläche LXDE – der 3D-Compositor Compiz 0.9.14 (Abbildung 1).

Abbildung 1: Mit Compiz gerät das Umschalten zwischen den virtuellen Desktops zum 3D-Ereignis.

Die CD ist zurück

Kaum zu glauben: Obwohl die meisten Notebooks heute nicht einmal mehr ein integriertes DVD-Laufwerk besitzen, ist die Nachfrage nach einer CD-Ausgabe von Knoppix noch immer groß. Der Aufwand, zwei Knoppix-Varianten parallel zu betreuen, wäre immens hoch. Deshalb habe ich mir überlegt, die Aufteilung der komprimierten Images, die das Dateisystem enthalten und die beim Booten übereinandergelegt werden, neu zu gestalten.

Das erste Image (Datei »KNOPPIX« im Ordner »KNOPPIX/«) enthält lediglich die zum Starten und für die Hardware-Erkennung notwendigen Dateien, einige Tools zur Datenrettung sowie einen Webbrowser. Derart abgespeckt, passt das erste Image sogar auf eine CD mit 700 MByte Größe. Damit eignet es sich auch für Bastler, die ein sehr schmales System nach eigenen Wünschen erweitern möchten und zum Beispiel LibreOffice oder die vielen (Lern-)Spiele nicht brauchen. Hierzu fragt der Flash-Installer »flash-knoppix« nach, ob man die Mini-Version oder die komplette DVD-Edition auf einen Stick bringen möchte (Abbildung 2).

Abbildung 2: Back to the roots: Knoppix 9.0 bringt wieder ein CD-Image mit.

Eher etwas retro und zudem experimentell ist das Feature, die Mini CD-Edition auch tatsächlich auf eine CD zu brennen. Hierbei verändert der Installer per Overlay-Dateisystem den Inhalt des gebooteten Sticks oder der DVD temporär so, dass ein CD-ähnliches Layout entsteht und sich auf eine CD oder DVD brennen lässt.

Das Feature ist noch wenig getestet, und ich bin ziemlich sicher, dass man während des Brennvorgangs nicht gerade einen Kernel kompilieren oder große Datenmengen durch den I/O-Bus schaufeln sollte, um das Brennen nicht zu stören. Zumindest bleibt das Erzeugen von großen Image-Dateien vor dem Brennen bei dieser Methode außen vor; man muss lediglich ein bisschen Geduld mitbringen.

Boot-Optionen als Notnagel

Normalerweise benötigt Knoppix keinerlei Boot-Optionen, um die vorgefundene Hardware inklusive Grafikkarte zu erkennen und das System optimal zu konfigurieren. Es entscheidet je nach Situation, welche Einstellungen bei einem Computer zum Erfolg führen müssten.

Die zunehmende Anzahl verschiedener Chipsätze, die nicht alle im Fehlerfall sauber aussteigen, sondern mitunter zum Aufhängen eines Software-Moduls führen, macht es aber manchmal doch notwendig, das eine oder andere Feature oder eine einzelne Komponente (diagnostisch und vorübergehend) abzuschalten. Dann kann man zum regulären Desktop durchstarten oder das System näher untersuchen. Dazu tippt der Benutzer hinter dem Boot-Prompt »knoppix64« (bei aktuellen 64-Bit-CPUs) oder »knoppix« (ältere 32-Bit-Computer) für den Linux-Kernel, gefolgt von den gewünschten Optionen.

Häufig verwendete Boot-Optionen nennt die mit [F2]+ und [F3] abrufbare Boot-Hilfe (Abbildung 3), andere sind in der Textdatei »KNOPPIX/knoppix-cheatcodes.txt« aufgelistet. Klemmt etwa der Desktop, wenn der 3D-Windowmanager Compiz starten soll, helfen oft die Boot-Optionen »knoppix nocomposite« oder »knoppix no3d«. Die eine schaltet die Composite-Erweiterung des Grafiksubsystems ab, die andere verhindert lediglich den Start der Compiz-Erweiterung für den Desktop.

Abbildung 3: Am Boot-Prompt lassen sich bei Bedarf besondere Parameter eintragen.

Umgekehrt kann der Benutzer für Grafikkarten, die eigentlich nicht schnell genug für Compiz sind und daher automatisch mit der “flachen” Windowmanager-Alternative Metacity starten würden, mit der Option »knoppix 3d« die 3D-Oberfläche mit Software-Rendering erzwingen.

Hybrides USB-Image

Heute installieren die meisten Anwender Knoppix nach dem ersten Start auf einen USB-Stick (8 GByte oder größer, USB 3.0 empfohlen), statt immer von DVD zu starten. Obwohl ich das ISO durch eine Sortlist fürs DVD-Lesen optimiert habe – das reduziert das sehr langsame Positionieren des Laser-Lesekopfs –, beschleunigt Flash-Memory den Startvorgang und das Arbeiten mit Knoppix um mindestens den Faktor 5. Das ermöglicht Startzeiten vom Laden des Kernels bis zum kompletten Desktop inklusive Compiz von unter 15 Sekunden, einigermaßen moderne Hardware und einen schnellen USB-Stick oder SD-Kartenleser vorausgesetzt.

Wie schon mit Knoppix Version 8.0 in der CeBIT-Version 2017 begonnen, kommt auch Version 9.0 in Gestalt eines Hybrid-Image zum Benutzer. Deshalb lässt sich das DVD-Image mit Dd oder Etcher [2] 1:1 auf einen USB-Stick kopieren, der dann automatisch bootfähig ist. Das ist insbesondere für die mittlerweile vielen Notebooks sinnvoll, die kein DVD-Laufwerk mehr besitzen.

Wer dagegen ein DVD-Laufwerk im Rechner hat, kann mit dem Programm »flash-knoppix« (Menü Knoppix | Knoppix auf Flash kopieren) bequem das DVD-Image auf einen USB-Stick flashen. Neben dem Flash-bedingten Geschwindigkeitsvorteil eröffnet dies auch die Möglichkeit, eigene Einstellungen sowie zusätzlich installierte Software persistent zu speichern.

Flash-knoppix formatiert die erste Partition mit FAT32 – und damit schreib- und änderbar, inklusive der Boot-Optionen in »boot/syslinux/sysl*.cfg«. Achtung: Aufgrund der Eigenschaften des Hybrid-Layouts wird auf Computern, die UEFI als Bootverfahren eingestellt haben, die DVD zwar als UEFI-Laufwerk angezeigt, kann aber in der Regel nicht in diesem Modus booten. Die auf USB-Stick kopierte Variante, egal ob per Dd oder Flash-knoppix erzeugt, lässt sich aber via UEFI und Secure Boot starten.

Eine versteckte Partition des Hybrid-Image beziehungsweise die FAT32-Partition des per Flash-knoppix erzeugten USB-Sticks beherbergt die für UEFI-Boot benötigten Dateien. Für Konstellationen, bei denen PCs nicht vom USB-Port starten wollen, zeigt der Kasten “EFI und hybrides Booten” einige Optionen. Das per Flash-knoppix voll beschreibbare System auf dem Ziel-USB-Laufwerk bietet zudem die Option, die im Zuge der Knoppix-Benutzung selbst angelegten persönlichen Daten automatisch zu verschlüsseln. So bleiben Zugangsdaten und Passwörter auf dem USB-Stick gut geschützt.

Änderungen unter der Haube

Der Streit um das beste Startup-System in den verschiedenen Linux-Distributionen kommt nun in die Jahre. Für die meisten reinen Linux-Anwender sind die Rangeleien nicht relevant, solange es keine Probleme beim Hochfahren des Computers gibt. Für den Maintainer einer Distribution bieten sich im Wesentlichen zwei Alternativen. SysVinit, eine der ältesten Varianten für den Prozess Nummer 1 im System, fährt über Skripte alle Dienste nacheinander hoch und sorgt für eine immer gleiche Startreihenfolge. Systemd startet basierend auf Abhängigkeiten die Dienste massiv parallel. Welches der beiden Init-Systeme bringt nun das System am schnellsten in einen benutzbaren Zustand?

Während SysVinit, das bis zu den 8er-Versionen von Knoppix zum Einsatz kam, als sehr stabil gilt und unabhängig von der installierten Software läuft, greifen Systemd und die damit verbundenen Bibliotheken teils tief ins System ein. Einige Desktop-Systeme und Konfigurationswerkzeuge setzen mittlerweile sogar Systemd-Komponenten wie den Session-Verwalter voraus und verweigern den Dienst, wenn sie keine Rückmeldung von Systemd erhalten.

Insgesamt kann man sagen, dass durch Systemd die Komplexität im Zusammenspiel der Bestandteile eines Linux-Systems enorm gewachsen ist. Das führt gelegentlich zu merkwürdigem Verhalten einzelner Systemkomponenten: Prozesse scheinen beim Startvorgang auf irgend etwas zu warten, oder es erscheinen seltsam anmutende Fehlermeldungen wie die Behauptung, der auf dem Desktop arbeitende Benutzer sei gar nicht angemeldet und dürfe daher auch kein Netzwerk konfigurieren.

Ich jedenfalls mag überschaubare Systeme geringer Komplexität. Deshalb habe ich mich, ungeachtet guter Erfahrung mit SysVinit, entschieden, das Startup-System von Knoppix zu überarbeiten. Sowohl das Hoch- als auch das Herunterfahren des Systems erfolgen nun vollständig über Knoppix-eigene Skripte. Das passiert unter Zuhilfenahme der vielseitigen Busybox-Shell, die bereits viele Systemwerkzeuge enthält, ohne dass man Programme von einem Datenträger aufrufen müsste. SysVinit-eigene Spezialitäten wie Runlevels entfallen dadurch, aber das Neustarten oder Ausschalten des Rechners vom Desktop aus gelingt mit den üblichen Schaltern und Programmen (»poweroff«, »reboot«, etc.) genau wie vorher. Es ist sogar etwas schneller geworden, da die SysVinit-eigenen Wartezeiten entfallen.

Damit es weiterhin möglich bleibt, den Computer in einem reinen Textmodus (Runlevel 2) zu starten, werten die Skripte die am Boot-Prompt eingegebenen Optionen aus und simulieren dadurch das alte Verhalten: »knoppix 2« startet also ohne Grafikoberfläche, und mit »/etc/init.d/knopix-startx start« lässt sich diese nachträglich aufrufen.

Busybox beim Einschalten für das schnelle Starten aller Systemdienste zu verwenden, ist bei Mini-Systemen wie etwa Steuerungsanlagen, die unter Linux laufen, übrigens durchaus üblich – nur im Desktop-Bereich war das bislang eher selten. Die inzwischen oft durch Systemd-Komponenten von Programmen angeforderte Interprozesskommunikation übernehmen entsprechende Dbus-Schemata sowie der Elogind aus dem Systemd-freien Debian-Derivat Devuan.

Insgesamt ist Knoppix durch das Entfernen von SysVinit also wieder etwas leichtgewichtiger geworden und macht auch Linux-Experten das Leben leichter, die gerne eigene Modifikationen einbringen wollen (zum Beispiel in der Datei »/etc/rc.local«).

Lange Ausstattungsliste

Der größte Teil der Software-Installation bei Knoppix liegt, mit einem eigenen Kernel-Modul (»cloop«) komprimiert, in Form von Dateisystem-Overlays auf der DVD, um die Distribution sehr umfangreich und für ein Linux-Anwendungssystem repräsentativ zu gestalten. So passen knapp 4000 Debian-Software-Pakete auf den Datenträger. Der Kasten “Highlights in Knoppix 9.0” vermittelt einen kleinen Auszug der Software-Vielfalt.

Einige Programme, wie die Lernsoftware für Kinder Gcompris, haben es aus Platzgründen nicht mehr auf die wirklich randvolle DVD geschafft. Wer eines vermisst, installiert es mithilfe des Programms »knoppix-install-extras« (Menü Knoppix | Zusätzliche Programme installieren) nach. Alternativ klappt das auch mit dem Debian-Standard-Paketmanager Synaptic oder mittels »apt update; apt install Paket« im Terminal.

Abbildung 4: Der umfangreiche Terminalemulator Terminator dient als Standardterminal.

Abbildung 5: Virtualisierung und Container-Funktionen zum Experimentieren im Menü Knoppix.

Sicherheit auf allen Ebenen

Sicherheit und Schutz der Privatsphäre genießen in der Knoppix-Architektur Top-Priorität. Das beginnt beim Kernel: Knoppix 9.0 macht die unter den Namen Meltdown und Spectre seit Anfang 2018 bekanntgewordenen Fehler in fast allen Prozessoren unschädlich, von denen immer wieder neue Varianten auftauchen. Das erledigen aktivierte Workarounds im Kernel (Page Table Isolation und Retpoline-Compiler als Härtung) sowie die Aktualisierung betroffener Bibliotheken und Programme.

Das Testprogramm »spectre-meltdown-checker« prüft einerseits, ob die CPU im Rechner die fraglichen Fehler aufweist. Andererseits zeigt es auch, dass im Linux-Kernel die Mechanismen zur Umgehung der Fehler Page Table Isolation (PTI) und Retpoline (eine Option im C-Compiler) aktiviert sind. Abgesehen davon laufen unter Knoppix keine Hintergrunddienste, die über die CPU-Fehler durch einen Angriff von außen Daten im Speicher ausspionieren könnten.

Im Userspace sperrt Knoppix alle Benutzerzugänge; es gibt weder Hintertüren noch Standardpasswörter, nicht einmal für den unprivilegierten Benutzer knoppix. Deshalb zeigt Knoppix nach dem Booten auch keinen Login-Bildschirm an. Der ansonsten unprivilegierte Standardbenutzer knoppix kann jedoch mit Sudo ohne Passwortabfrage zur Root-ID wechseln, Passwörter festlegen, Systemdienste starten, Software installieren und so weiter. (jlu)