© Worachai Yosthamrong, 123RF

Klaus Knopper präsentiert kurz vor der Cebit 2018 seine Knoppix 8.3 Linux-Magazin Edition. Ganz besonders drechseln musste er, um Docker so zu integrieren, dass die Containerverwaltung in ihrem Bauch selbst wieder Knoppix und sogar grafische Programme starten kann. Darüber berichtet er hier.

Seit über15 Jahren erscheint etwa halbjährlich meine Zusammenstellung von Debian-GNU/Linux-Software unter dem Namen Knoppix (Knoppers Unix System). Das System ist so ausgelegt, dass es ohne Installation auf Festplatte von DVD, USB-Flashdisk oder übers Netzwerk fertig konfiguriert sofort läuft. Das Software-Set eignet sich zum Arbeiten, Surfen im Internet, Spielen, Unterrichten, Lernen, Programmieren und Retten von Daten defekter Betriebssysteme.

Debian-Pakete-Mix als Grundlage

Die Version 8.3.0 [1] habe ich im Auftrag des Linux-Magazins wie in den letzten Jahren für die Cebit-Ausgabe zusammengestellt. Sie mixt Debian Stable (Stretch) mit etlichen Paketen aus Testing und Unstable (Buster, Sid), in erster Linie wegen der neueren Grafikbibliotheken, die für aktuelle Hardware notwendig sind, und aktuelle Desktop-Programme.

Um eine möglichst breite Hardwareunterstützung zu erreichen, verwende ich den (zum Zeitpunkt der Drucklegung) kürzlich erschienenen Kernel 4.16.5 mit wichtigen Patches sowie X.org 7.7 (Core 1.19.6). Ohne weiteres Zutun startet dann sehr flott die schlanke Desktopoberfläche LXDE sowie als optisches Schmankerl die komfortable 3-D-Erweiterung Compiz 0.9.13.1 (Abbildung 1).

Abbildung 1: Mit Compiz gerät das Umschalten zwischen den virtuellen Desktops zum 3-D-Ereignis.

Bootoptionen als Notnagel

Normalerweise benötigt Knoppix keinerlei Bootoptionen, um die vorgefundene Hardware inklusive Grafikkarte zu erkennen und das System optimal zu konfigurieren. Die zunehmende Anzahl verschiedener Chipsätze macht es aber manchmal doch notwendig, das eine oder andere Feature oder eine einzelne Komponente (diagnostisch und vorübergehend) abzuschalten, um zum regulären Desktop durchzustarten. Dazu tippt der Benutzer hinter dem Bootprompt (Abbildung 2) »knoppix64« (64 Bit) oder »knoppix« (32 Bit) für den Kernel, gefolgt von den gewünschten Optionen.

Häufige Bootoptionen nennt gleich die Boot-Hilfe, abrufbar mit [F2]+ oder [F3], andere sind in der Textdatei »KNOPPIX/knoppix-cheatcodes.txt« aufgelistet. Klemmt etwa der Desktop, wenn der 3-D-Windowmanager Compiz starten soll, helfen oft die Bootoptionen »knoppix nocomposite« oder »knoppix no3d«. Die eine schaltet die Composite-Erweiterung des Grafiksubsystems ab, die andere verhindert den Compiz-Start.

Umgekehrt kann der Benutzer für Grafikkarten, die eigentlich nicht schnell genug für Compiz sind und daher automatisch mit der flachen Windowmanager-Alternative Metacity starten, mit der Option »knoppix 3d« die 3-D-Oberfläche mit Software-Rendering erzwingen.

Abbildung 2: Auf dem Bootprompt lassen sich besondere Parameter eintragen.

Hybrides USB-Image

Heute installieren die meisten Anwender Knoppix nach dem ersten Start auf einem USB-Stick (8 GByte oder größer), statt immer von DVD zu starten. Denn obwohl ich das ISO durch eine Sortlist fürs DVD-Lesen optimiert habe – das reduziert das sehr langsame Positionieren des Laser-Lesekopfs –, beschleunigt Flashmemory den Startvorgang und das Arbeiten mit Knoppix um mindestens den Faktor fünf, sodass Startzeiten vom Laden des Kernels bis zum kompletten Desktop inklusive Compiz unter 15 Sekunden möglich sind, einigermaßen moderne Computerhardware und einen schnellen USB-Stick oder SD-Kartenleser vorausgesetzt.

Wie schon mit Knoppix Version 8.0 in der Cebit-Version 2017 begonnen, kommt auch Version 8.3 in Gestalt eines Hybrid-Image zu seinen Benutzern. Deshalb dürfen diese das DVD-Image mit »dd« (Linux) oder Etcher (Windows, [2]) 1:1 auf einen USB-Stick kopieren. Der Stick ist automatisch bootfähig. Das Unterfangen ergibt insbesondere für die mittlerweile vielen Notebooks Sinn, die kein DVD-Laufwerk besitzen.

Wer dagegen ein DVD-Laufwerk in seinem Rechner hat, kann mit dem Programm »flash-knoppix« (Menü »Knoppix | Knoppix auf Flash kopieren«) bequem das DVD-Image auf einen USB-Stick flashen. Neben dem Flash-bedingten Geschwindigkeitvorteil eröffnet sich Benutzern so auch die Möglichkeit, eigene Einstellungen sowie zusätzlich installierte Software persistent zu speichern. Flash-knoppix formatiert die erste Partition auf FAT32 und damit schreib- und änderbar, inklusive der Bootoptionen in »boot/syslinux/sysl*.cfg«.

Die Partition beherbergt zugleich die für UEFI-Boot benötigten Dateien. Die seltenen Konstellationen, bei denen PCs nicht vom USB-Port starten wollen, diskutiert der Kasten “EFI und hybrides Booten”. Das voll beschreibbare System auf dem Ziel-USB-Laufwerk besitzt zudem die Option, die im Zuge der Knoppix-Benutzung selbst angelegten persönlichen Daten zu verschlüsseln.

Ohne Systemd-Gedöns

Für Systeme mit 64-Bit-CPUs startet – automatisch erkannt oder mit der Bootoption »knoppix64« – Linux 4.16.5 als 64-Bit-Kernel, jedoch mit einem 32-Bit-Userspace. Möglich werden so auch Systemreparaturen in 64-Bit-Umgebungen per »chroot«, dennoch bleibt der Start auch auf älteren Computern ohne 64-Bit-Erweiterung möglich.

Das Startskript »knoppix-autoconfig«, das die Hardware erkennt und den Parallelstart wichtiger Systemkomponenten steuert, bleibt das Rückgrat von Knoppix’ Bootsystem. Systemd, das Debian seit Jessie als Startupsystem verwendet, greift in viele Systemkomponenten ein und verursacht oft Probleme mit Abhängigkeiten. Ich umgehe es.

Die Systemd-Bibliotheken hat Knoppix wegen der Kompatibilität aber installiert – andernfalls würde beispielsweise der Networkmanager nicht funktionieren. Wer eigene Dienste beim Hochfahren starten will, trägt sie in die Datei »/etc/rc.local« ein, sie enthält Beispiele dazu.

Lange Ausstattungsliste

Ich lege Knoppix stark komprimiert auf die DVD ab, um die Distribution umfangreich gestalten zu können. Deshalb muss man die Liste mit Highlights der Version 8.3 als stark gekürzt bezeichnen:

• Kernel 4.16.5 mit Patches: Cloop (Decompressing Loopback Device), AUFS (Another Union File System), Broadcom-STA-Wifi-Treiber, Page Table Isolation und Retpoline.
• Hybrid-DVD/Flash-Layout, das nach der 1:1-Kopie die Overlay-Partition automatisch aktiviert.
• Remaster-Option für das Flashen personalisierter USB-Sticks mit komprimiertem Overlay-Image.
• LXDE, der schlanke Knoppix-Standarddesktop mit dem Dateimanager Pcmanfm 1.3.0.
• Gnome 3 (Bootoption »knoppix64 desktop=gnome«).
• KDE 5 (»knoppix64 desktop=kde«).
• Einfacher Desktop-Export via VNC und RDP.
• Barrierefreier Adriane Audio Desktop [3].
• Wine 3.1 zum Ausführen von Windows-Programmen, auch von solchen für Windows 10.
• Qemu-kvm 2.12 für die Paravirtualisierung.
• Privacy-Erweiterung Tor [4] startbar übers »Knoppix«-Menü.
• Chromium 66.0.3359.117, Firefox 60.0 mit Werbeblocker Ublock Origin und Noscript; beide mit Ein-Klick-Aktivierung des Tor-Proxy.
• Libre Office 6.0.4, Gimp 2.10.
• Blender 2.79, Freecad 0.16.6712, Meshlab 1.3.2, Open Scad 2015.03 fürs 3-D-Prototyping, Slic3r für das schichtweise 3-D-Drucken.
• Screenshot-Tool Shutter.
• Standard-Terminalemulator ist nun das angenehm umfangreiche Multifenster-Terminalprogramm Terminator (Abbildung 3, [5]).

Als spezielles Feature in dieser Linux-Magazin Cebit Edition sind Virtualisierung und Container-Funktionen eingezogen – zu finden im »Knoppix«-Menü (Abbildung 4) und als Shellstarter.

Abbildung 3: Gewaltätiger Name, gewaltige Funktionalität: das Terminalprogramm Terminator.

Abbildung 4: Container und Virtualisierung sind echte Neuankömmlinge im »Knoppix«-Untermenü.

Neuer Knocker

Ich wollte schon lange einmal Docker [6] als schlanke Alternative zu richtiger Virtualiserung ausprobieren. Mit einem Live-System als Basis hatte ich angenommen, dass die hierfür notwendigen Modifikationen besonders einfach zu integrieren sind – ein Irrtum, denn

• die aktuellen Docker-Versionen unterstützen nur 64 Bit und
• obwohl Docker (neben Overlay-FS) auch AU-FS zum Bauen von Containern unterstützt, verweigert der Docker-Daemon den Dienst, wenn er auf einem per AUFS zusammengesetzten Dateisystem läuft (das so genannte »pivot_root«-Problem).

Als Workaround habe ich ein Skript eingefügt, aus dem vorhandenen Read-only-gemounteten Knoppix-Overlay mit Hilfe von Symlinks und so genannte Bind-Mounts eine neue Dateisystemstruktur zusammenbaut. (Das kommt mir schon ein bisschen retro vor: Bis Version 3.8 gab es bei Knoppix noch kein Overlay-Dateisystem, sondern es verwendete wie jetzt wieder Symlinks.)

Nach dem Aufruf von »knoppix-newroot« über den Menüeintrag »khroot« (Knoppix Chroot) entsteht dieses neu zusammengesetzte Knoppix-Verzeichnis unter dem Verzeichnis »/NEWROOT«. In dieser Umgebung lässt sich nicht nur simpel eine Chroot-Shell, sondern auch Docker starten. Das ist mir mit Hilfe von Docker.com bereitgestellten, statisch gelinkten 64-Bit-Binaries [7] gelungen.

Das neue Skript »knocker« erzeugt dann einen minimalen »Knoppix«-Container. Der wiederum beinhaltet das vorhandene Knoppix-System Read-only und kann Programme innerhalb des Docker-Behältnisses starten. Als zusätzliches Feature habe ich den Zugriff aus dem Container heraus auf die laufende Grafikoberfläche freigeschaltet, sodass Benutzer aus Docker-Containern heraus grafische Programme starten dürfen (Abbildung 5).

Abbildung 5: Knocker – Knoppix meets Docker – kann sogar Programme mit GUI starten.

Noch eine Matrjoschka

Auch ein Starter, um den kompletten Knoppix-Datenträger in KVM oder Qemu zu starten, findet sich nun im »Knoppix«-Menü. Es ist vor allem zu Unterrichtszwecken praktisch, Knoppix ein- oder gar mehrmals in Knoppix zu starten. Sofern die CPU Hardware-Virtualisierung unterstützt, aktivieren sich die Kernelmodul »kvm_intel« oder »kvm_amd« entsprechend automatisch. Ansonsten arbeitet Qemu als Software-Emulator für 64-Bit-CPUs verwendet, was allerdings deutlich langsamer ist.

Erkennt Knoppix 8.3, dass es in Qemu virtualisiert abläuft, schaltet es den Zugriff auf die Partitionen des Boot-Datenträgers auf Read-only. Denn wenn Host- und Gastsystem beide auf dem Datenträger schreiben dürften, würden sie früher oder später das Daten zerstören.

Abbildung 6: Nochmal Knoppix-in-Knoppix – diesmal mit KVM virtualisiert.

Tonstörung mit Ansage

In einer kontroversen Entscheidung [8] hatten die Firefox-Entwickler bereits 2017 die Unterstützung für das Linux-Audiosystem Alsa im Firefox-Webbrowser entfernt. Dies führte dazu, dass Firefox seither stumm bleibt, sofern Pulseaudio nicht als Soundserver einspringen kann. Die Pulseaudio-Bibliotheken, die Knoppix natürlich an Bord hat, reichen Firefox allerdings nicht – Pulseaudio muss als Soundserver laufen.

Ihn zu starten, erweist sich wiederum für andere Programme als kontraproduktiv, vor allem für die Sprachausgabe im barrierefreien Adriane-Desktop. Der Pulseaudio-Daemon tendiert nämlich dazu, sich bei Parallelzugriff mehrerer Programme die Audioschnittstelle exklusiv zu krallen.

Daher habe ich keine andere Möglichkeit gesehen, als Firefox in Knoppix – zumindest als Standardbrowser – Lebewohl zu sagen und durch Chromium, die Open-Source-Version von Chrome, zu ersetzen. Chromium hat im Gegensatz zu Firefox offensichtlich keine Probleme mit dem Soundsystem Alsa als Standard und spielt wie gewohnt Youtube-Videos mit Ton ab, wo Firefox nur Stummfilme zeigt.

Meltdown und Spectre

Sicherheit und Schutz der Privatsphäre besitzen Top-Priorität in Knoppix’ Architektur. Das beginnt beim Kernel: Die unter den Namen Meltdown und Spectre Anfang 2018 bekannt gewordenen Fehler in fast allen Prozessoren habe ich in Knoppix 8.3 durch Workarounds im Kernel sowie Aktualisierung betroffener Bibliotheken und Programme unschädlich gemacht.

Das Testprogramm »spectre-meltdown-checker« zeigt einerseits, ob die CPU im Rechner von dem Fehler betroffen ist, andererseits aber auch, dass im Linux-Kernel die Mechanismen zur Umgehung der Fehler Page Table Isolation (PTI) und Retpoline (eine neue Option im C-Compiler) aktiviert sind (Abbildung 7). Abgesehen hiervon laufen unter Knoppix keine Hintergrunddienste, die durch einen Angriff von außen über den CPU-Fehler Daten im Speicher ausspionieren könnten.

Abbildung 7: Der Testlauf von »sudo spectre-meltdown-checker« hier beweist: alles gut.

Sicherheit auch auf allen anderen Ebenen

Im Userspace von Knoppix sind alle Benutzerzugänge gesperrt, es gibt keine Hintertüren oder Standardpasswörter – nicht mal für den unprivilegierten Benutzer »knoppix«. Deshalb zeigt Knoppix nach dem Booten auch keinen Login-Bildschirm an. Wer einen Screenlocker startet, sperrt sich praktisch sogar aus, da es kein gültiges Passwort zum Entsperren gibt. Daher habe ich das Absperren des Bildschirms beim Schließen des Notebook-Displays oder bei Inaktivität abgeschaltet. Der ansonsten unprivilegierte Standardbenutzer »knoppix« kann jedoch mit »sudo« ohne eine Passwortabfrage zur Root-ID wechseln, Passwörter festlegen, Systemdienste starten, Software installieren und so weiter.

Firefox habe ich mit scharfgeschalteten Noscript-Plugin ausgestattet, das bis auf wenige Ausnahmen bei jeder Webseite mit aktiven Inhalten oder solchen, die auf Plugins oder die Hardware zugreifen wollen, beim Surfer um Bestätigung oder um Ablehnung nachsucht.

Noscript vermutet bei Javascript- oder Flash-Inhalten oder beim Start von Plugins, welche die Kamera, das Mikrofon oder andere Komponenten aktivieren, negative Auswirkungen auf die Sicherheit und Stabilität des Browsers und blendet am unteren Rand des Browsers (oberhalb des Statusbalkens) gelbe Benachrichtigungen ein.

Mehr Programme

Einige Programme wie die Lernsoftware für Kinder Gcompris haben es aus Platzgründen nicht mehr auf die wirklich randvolle DVD geschafft. Wer eines vermisst, installiert es mit Hilfe des Programms »knoppix-install-extras« (Menü »Knoppix | Zusätzliche Programme installieren«, siehe Abbildung 8) nach. Natürlich ist dies auch mit dem Debian-Standard-Paketmanager möglich. (jk)

Abbildung 8: Wer ein Programm vermisst oder ein vorhandenes aktualisieren will, greift zu Knoppix’ Install-Extras-Utility.