Krzysztof Burghardt’s blog » Hardware

ESE Key Daemon 1.2.7 released

Krzysztof Burghardt — Mon, 05 Jul 2010 07:35:52 +0000

New version of ESE Key Daemon was released today.

New features include the ability to handle multiple key combinations and distinguish between key presses and releases. A problem with the handling of the last line in a configuration file when there is no newline on the last line is gone. Numeric keys are now also allowed in the configuration file.

Download: esekeyd-1.2.7.tar.gz (.asc)

MD5: 5937ad6d7815dbc6ab6983411a9f37d4
SHA1: 07671be42b61973a3270aaf1b41c3467568ae7ac

Debian GNU/Linux on Dell Inspiron 1764

Krzysztof Burghardt — Mon, 26 Apr 2010 18:17:59 +0000

Installing, configuring and using Debian GNU/Linux on Dell Inspiron 1764 (N0476409) notebook.

Hardware overview

Intel Core i5-520M (2.4GHz, 4 Threads, turbo Boost up to 2.93GHz, 3M cache)
17.3″ WLED High Definition+ (1600×900) TFT Display
1GB ATI Mobility Radeon HD 5450
4096MB 1067MHz Dual Channel DDR3 SDRAM (2×2048)
500GB (5400RPM) Serial ATA Hard Drive
DVD +/- RW Drive (read/write CD & DVD)
Dell Wireless 1520 (802.11a/b/g/n)
Dell Bluetooth 365
Integrated 1,3MP webcam

Devices that works with Linux

CPU: both cores and HT works, recent Linux kernels support speedstep,
USB: works (even with Debian Installer images),
DVD+/-RW: works (even with Debian Installer images),
Graphic: basic features (2D, hardware accelerated 3D rendering) works with proprietary drivers only, most other features (CAL, POWERplay, multihead) unsupported; no FLOSS alternative,
Sound: works, but I need to pass options to module to make sound work properly,
Ethernet: works (even with Debian Installer images),
Wireless LAN: basic features (STA mode) supported by proprietary drivers only, other features (monitor mode and packet injection) not supported; no FLOSS alternative,
Bluetooth: works (as HCI only after reset with hid2hci),
Card reader: works (tested with MicroSD and Memory Stick PRO Duo, both with adapters),
Webcam: works.

Also “Suspend to RAM” works using sysfs method of hibernate script. “Suspend to disk” works using ususpend method.

Devices that does not work with Linux

none :-D

Devices

Configuration

Graphic

Download and install fglrx driver. Google is full of instruction how to install it, so I skip this step.

When driver is installed and fglrx is loaded into kernel its time to configure X.Org. Probably aticonfig would be best choice, but it fails on Mobility Radeon HD 5000 series cards with message:

# aticonfig --initial
aticonfig: No supported adapters detected

Download my xorg.conf and put it into /etc/X11 directory. Then start X-server using startx command. My default layout include Inspiron’s built-in TFT screen, ATI Mobility Radeon HD 5450, ALPS touchpad and any other mice connected to it.

You will probably see “AMD unsupported hardware” watermark in lower right corner of the screen. There is no configuration option to remove it. Removal is possible by patching fglrx_drv.so file. Kano posted small script to replace call to EnableLogo with NOPs on Phoronix Forums’ thread “Unsupported Hardware watermark”:

#!/bin/sh
DRIVER=/usr/lib/xorg/modules/drivers/fglrx_drv.so
for x in $(objdump -d $DRIVER|awk '/call/&&/EnableLogo/{print "\\x"$2"\\x"$3"\\x"$4"\\x"$5"\\x"$6}'); do
sed -i "s/$x/\x90\x90\x90\x90\x90/g" $DRIVER
done

Sound

Create file /etc/modprobe.d/sound with following content:

alias snd-card-0 snd-hda-intel
options snd-hda-intel model=dell index=0

Reload alsa driver (or reboot).

Wireless LAN

Drivers need to be compiled from sources. First prepare your system for kernel module building. Install build-essential and module-assistant packages.Then prepare kernel headers:

# aptitude install build-essential module-assistant
# m-a prepare

When kernel headers are ready download 802.11 Linux STA driver for Broadcom’s IEEE 802.11a/b/g/n devices (this includes BCM4311, BCM4312, BCM4313, BCM4321 and BCM4322). Compile it. Install. And finally load into running kernel:

# cd /usr/src
# wget http://www.broadcom.com/docs/linux_sta/hybrid-portsrc-x86_64-v5.60.48.36.tar.gz
# mkdir hybrid-portsrc-x86_64-v5.60.48.36
# cd hybrid-portsrc-x86_64-v5.60.48.36
# tar zxf ../hybrid-portsrc-x86_64-v5.60.48.36.tar.gz
# make
# mkdir /lib/modules/`uname -r`/local
# cp wl.ko /lib/modules/`uname -r`/local
# depmod -A
# modprobe -v wl

Command dmesg | tail should output something similar to this:

wlan0: Broadcom BCM4353 802.11 Hybrid Wireless Controller 5.60.48.36

Bluetooth

Dell Bluetooth 365 is detected as HCI on kernel 2.6.32-bpo.4-amd64 only if previously reset with hid2hci (get a copy form bluez 4.6). This is actually a feature, not a bug. Use recent hid2hci to put device into HCI mode:

# hid2hci -m dell -v 413c -p 8162
Attempting to switch device 413c:8162 to HCI mode was successful

nCipher HSM with OpenSSL

Krzysztof Burghardt — Tue, 02 Mar 2010 22:36:50 +0000

I just finished playing with some nCipher’s HSM. Unfortunately there is no integration guide for OpenSSL that cover CHIL interface and nCipher hardware security modules.

nCipher’s installation guide is quite good, but after you finish installing hardware, drivers and daemons, you are on your own.

I found only two helpful sources: Andrea Campi’s blog entry about nCipher NetHSM and OpenSSL and Marek Marcola’s post on openssl-users mailing list.

Both guides ends on key generation and self-signed certificates. Its enough to get CHIL enabled application to work with nCipher’s HSM, but will not help you to convert any existing OpenSSL (not an CHIL-aware) application to use HSM.

CHIL enabled OpenSSL

When you have driver, hardserver and chil library for your HSM installed the next step is to install OpenSSL with CHIL support enabled. Modern Linux distribution may have CHIL already enabled. If so, there should be libchil.so library in /usr/lib/ssl/engines directory.

If libchil.so is missing follow OpenSSL installation steps as described in Apache2.2.x, OpenSSL 0.9.8x and nCipher Modules Integration Guide.

When OpenSSL in installed, add /opt/nfast/toolkits/hwcrhk to LD_LIBRARY_PATH:

$ export LD_LIBRARY_PATH=/opt/nfast/toolkits/hwcrhk

To check if OpenSSL is able to communicate with HSM trough CHIL interface run:

$ openssl engine -t chil
(chil) CHIL hardware engine support
     [ available ]

If CHIL is available benchmark HSM with:

$ openssl speed rsa -engine chil -elapsed -multi 50

Hardware accelerated cryptography

Use engine interface to switch to cryptography implementation from hardware security module.

#include

ENGINE *hwEngine = NULL;

int enable_chil()
{
ENGINE_load_builtin_engines();

if (!(hwEngine = ENGINE_by_id("CHIL")))
return -1;

if (!ENGINE_set_default(hwEngine, ENGINE_METHOD_ALL))
return -2;

return 0;
}

When application finish its cryptography operations, it should free engine.

void disable_chil()
{
if(hwEngine)
{
ENGINE_finish(hwEngine);
hwEngine = NULL;
ENGINE_cleanup();
}
}

Hardware key protection/storage

If you want to make your private keys more secure you should use hardware key protection (or even storage).

Hardware protected keys are stored on local filesystem, but encrypted by key stored only in HSM. To generate such key use:

$ /opt/nfast/bin/generatekey hwcrhk

Answer some questions (Protected by? module, Key type? RSA, Key size? 4096, Key identifier? keyname) and your encrypted (by module, as you choose in question above) private key is saved in /opt/nfast/kmdata/local/key_hwcrhk_rsa-keyname.

When using locally stored encryption keys you load them as in this example (I use EVP interface for high-level cryptographic functions):

EVP_PKEY *pkey = NULL;

int load_key()
{
fp = fopen("filename.key", "r");

if (fp == NULL)
return -1;

pkey = PEM_read_PrivateKey(fp, NULL, NULL, NULL);

return 0;
}

When you have CHIL keys, loading them is also very simple:

void load_key_chil()
{
pkey = ENGINE_load_private_key(hwEngine, "rsa-keyname", NULL, NULL);
}

When key is no longer in use destroy it with:

void free_key()
{
EVP_PKEY_free(pkey);
}

If application just need to do some hardware accelerated RSA or it need to use hardware protected keys those code pieces along with CHIL-enabled OpenSSL is all you need.

Szwajcarski nóż^Wpendrive oficerski

Krzysztof Burghardt — Sun, 12 Jul 2009 20:46:52 +0000

Szwajcarskie noże oficerskie słyną ze swej funkcjonalności. Odkąd zaczęto produkować wersje z wbudowaną pamięcią flash na USB zastanawiałem się, jak zapewnić oprogramowaniu zainstalowanemu na przenośnej pamięci równie dużą funkcjonalność.

PenDrive do zadań specjalnych

Plan minimum to możliwość uruchamiania z pamięci klucza USB przynajmniej:

Programu rozruchowego GRUB
Ultimate Boot CD
Parted Magic OS

Dodatkowo przydatna byłaby dystrybucja typu LiveCD (Debian Live?) oraz możliwość uruchamiania instalatora Debiana.

Przygotowanie pamięci

Przygotowanie dysku USB rozpoczynamy od usunięcia aktualnej tablicy partycji. W wyniku wykonania tego kroku dane na dysku nie będą już dostępne. Mój dysk jest w systemie widoczny jako /dev/sda.

# dd if=/dev/zero of=/dev/sda bs=512 count=1

Gdy tablica partycji jest już czysta, tworzymy partycję startową. W tym celu użyjemy programu mkdiskimage z pakietu syslinux-common. Użycie tego narzędzia pozwala na stworzenie dysku, który będzie można uruchamiać zarówno jako USB-HDD, jak i jako USB-ZIP. Partycja startowa będzie oznaczona numerem 2, dzięki czemu systemy Windows, nie będą jej używały.

# mkdiskimage -2 -z /dev/sda 1024

Ostatni parametr to wielkość partycji. W moim przypadku 1024, czyli największy rozmiar, który jest obsługiwany przez wszystkie systemy BIOS. Możemy stworzyć mniejszą partycję, jeśli mamy mniejszą pamięć flash. Stworzenie większej, może spowodować problemy z uruchamianiem systemu z tej partycji.

Instalacja GRUB-a

Kolejnym krokiem będzie instalacja GRUB4DOS. Po pobraniu i rozpakowaniu programu wydajemy, w katalogu z programem, polecenia:

# ./bootlace.com /dev/sda
# ./bootlace.com --floppy /dev/sda2

Aby dokończyć instalację, montujemy partycję /dev/sda2 i kopiujemy na nią plik grldr:

# mount /dev/sda2 /mnt
# cp grldr /mnt

Instalacja Ultimate Boot CD i Parted Magic OS

W tym przypadku ciężko mówić nawet o instalacji. Po prostu umieszczamy pliki ubcd.iso i pmagic-4.1.iso na nośniku (obok skopiowanego wcześniej grldr).

Łączenie elementów układanki w działającą całość

Pewnie już każdy zastanawia się jak to ma niby zadziałać? GRUB i obrazy ISO płyt CD!? Odpowiedź jest prosta: menu.lst.

Po rozpakowaniu GRUB4DOS otrzymamy plik menu.lst, w którym odnajdziemy m.in. takie wpisy:

title Parted Magic ISO
fallback 7
find --set-root /pmagic.iso
map /pmagic.iso (0xff) || map --mem /pmagic.iso (0xff)
map --hook
chainloader (0xff)
savedefault --wait=2

title Ultimate Boot CD ISO
fallback 8
find --set-root /ubcd.iso
map /ubcd.iso (0xff) || map --mem /ubcd.iso (0xff)
map --hook
chainloader (0xff)
savedefault --wait=2

Oto cała magia GRUB4DOS. Potrafi on załadować system z bootowalnego obrazu ISO.

Testowanie z pomocą QEMU

Aby przetestować działanie PenDrive-a bez konieczności restartowania komputera użyjemy QEMU. Po odmontowaniu systemu plików wydajemy polecenie:

$ qemu -monitor stdio -kernel-kqemu -m 1024 -hda /dev/sda

Użyte parametry włączają linię komend QEMU na konsoli, z której go uruchomiliśmy; 1024MB pamięci RAM w maszynie wirtualnej; oraz użycie kqemu również dla kodu jądra.

Plan minimum wykonany. Uruchamianie instalatora Debiana i dystrybucji Live jest bardziej skomplikowane, ale również możliwe.

Debian-Installer

Niestety ISO aktualnej wersji stabilnej (“Lenny“) nie potrafi wystartować w ten sposób, dlatego użyjemy hd-media/boot.img.gz dla i386 (lub amd64).

Plik ten należy poddać dekompresji i skopiować na PenDrive-a:

# gunzip boot.img.gz
# cp boot.img /mnt/debian-installer.img

Do menu.lst należy dodać następujący wpis:

title Debian-Installer
find --set-root /debian-installer.img || root (fd0)
map /debian-installer.img (fd0)
map --hook
chainloader (fd0)+1
rootnoverify (fd0)
map --floppies=1

Oprócz hd-media/boot.img.gz na nośniku potrzebne jest jeszcze zwykłe ISO instalatora Debiana. Można wybrać dowolny obraz z dostępnych (netinst, cd1 a nawet dvd1, jeśli mamy około 4GB wolnego miejsca). Obraz może znajdować się na innej partycji.

Debian Live

Instalacja Debian Live na PenDrive jest bardziej skomplikowana. Zaczynamy od wybrania “smaku” dystrybucji Live. Do wyboru mamy: Gnome, KDE, XFCE, LXDE, Rescue oraz standard.

Gdy pobraliśmy już plik ISO. Za pomocą mount -o loop lub Midnight Commandera kopiujemy plik live/filesystem.squashfs do katalogu live na dysku USB, a pozostałe pliki z płyty CD do jednego katalogu (np. /tmp/debian-live).

Z wszystkich plików (poza live/filesystem.squashfs!) tworzymy nowy plik ISO komendą:

mkisofs -o /tmp/debian-live.iso -J -l -cache-inodes -allow-multidot -no-emul-boot -boot-load-size 4 -boot-info-table -r -b isolinux/isolinux.bin -c isolinux/boot.cat -m isolinux/isolinux.bin /tmp/debian-live

Plik /tmp/debian-live.iso kopiujemy na PenDrive-a, a do menu.lst dodajemy następujący wpis:

title Debian Live
find --set-root /debian-live.iso || root (fd0)
map /debian-live.iso (0xff) || map --mem /debian-live.iso (0xff)
map --hook
chainloader (0xff)

Partycja “na dane” oraz ukrywanie partycji numer 2

Na koniec powinniśmy stworzyć partycję /dev/sda1 zajmującą całe pozostałe miejsce oraz nadać partycjom etykiety, aby łatwiej było je rozróżnić. Na koniec warto ukryć partycję /dev/sda1. Wszystkiego tego dokonamy uruchamiając komputer z… naszego PenDrive-a za pomocą Parted Magic OS.

Windows

W podobny sposób można z PenDrive-a uruchamiać obrazy płyt CD (BartPE) z Windows XP przygotowane programem PE Builder.

Optimizing GNOME for Netbooks

Krzysztof Burghardt — Mon, 04 May 2009 20:17:49 +0000

GNOME can be easily optimized for Netbooks using configuration editor. Disabling animations, thumbnails and splash screen speeds up GNOME while scaling down icons saves space on desktop.

Metacity will give the user less feedback by using wireframes, avoiding animations, or other means if /apps/metacity/general/reduced_resources is set to true. This can be set with gconf-editor or from shell with gconftool:

gconftool-2 -s /apps/metacity/general/reduced_resources -t bool true

When Metacity run on reduced resources it’s time to disable animations in panels and desktop:

gconftool-2 -s /apps/panel/global/enable_animations -t bool false
gconftool-2 -s /apps/panel/toplevels/bottom_panel_screen0/enable_animations -t bool false
gconftool-2 -s /apps/panel/toplevels/panel_0/enable_animations -t bool false
gconftool-2 -s /desktop/gnome/interface/enable_animations -t bool false

Disabling splash screen:

gconftool-2 -s /apps/gnome-session/options/show_splash_screen -t bool false

Disabling logout effect and shading and shading the background colors:

gconftool-2 -s /desktop/gnome/background/color_shading_type -t str "solid"
gconftool-2 -s /apps/gnome-session/options/logout_effect -t str "black"

Finally Nautilus shouldn’t generate any images or documents thumbnails:

gconftool-2 -s /apps/nautilus/preferences/show_icon_text -t str "never"
gconftool-2 -s /apps/nautilus/preferences/show_image_thumbnails -t str "never"

Disable sounds on user events and playing sound from files under mouse:

gconftool-2 -s /apps/nautilus/preferences/preview_sound -t str "never"
gconftool-2 -s /desktop/gnome/sound/event_sounds -t bool false

When everything is disabled time to scale down icons in GNOME menu. This can be done in configuration file named ~/.gtkrc-2.0. To scale down icons create file with this content:

gtk-menu-images = 1
gtk-button-images = 1
gtk-icon-sizes = "panel-menu=16,16:panel=16,16:gtk-button=16,16:gtk-large-toolbar=16,16"

Huawei E272 jako zapasowe łącze routera OpenWRT

Krzysztof Burghardt — Fri, 23 Jan 2009 18:30:08 +0000

Niedawno opisałem instalację “mydelniczki” DSL Thomson SpeedTouch 330 w OpenWRT. Tym razem instalujemy “mydelniczkę” trzeciej generacji – Huawei E272 – jako zapasowe łącze w routerze.

Konfiguracja źródeł i kompilacja

W pliku .config włączamy program chat odpowiedzialny za komunikację z modemem oraz sterownik portów szeregowych na magistrali USB – usbserial. Możemy włączyć też moduł option lub inny odpowiedni dla naszego modemu. Pozostałe ustawienia pozostawiamy niezmienione. Można dodatkowo zainstalować microcom, aby ułatwić sobie ewentualne “ręczne sterowanie” modemem.

CONFIG_PACKAGE_chat=y
CONFIG_PACKAGE_kmod-usb-serial=y
CONFIG_PACKAGE_kmod-usb-serial-option=y
CONFIG_PACKAGE_microcom=y

Rekompilujemy i instalujemy OpenWRT. (Ewentualnie można doinstalować brakujące pakiety do istniejącej instalacji OpenWRT za pomocą opkg.)

Port szeregowy

Ponieważ modem GPRS po podłączeniu nie jest przypisywany przez system do żadnego sterownika (w Debianie obsługuje go moduł option, jeśli go nie włączymy możemy użyć ogólnego sterownika portu szeregowego na USB). Dopisujemy w pliku /etc/modules.d/60-usb-serial opcje vendor i product oraz maxSize.

usbserial vendor=0x12d1 product=0x1001 maxSize=4096

Po tej operacji należy ponownie załadować moduł usbserial poleceniem:

# rmmod usbserial
# insmod /lib/modules/`uname -r`/usbserial.ko vendor=0x12d1 product=0x1001 maxSize=4096

Skrypty chata

Do inicjacji modemu należy użyć skryptów programu chat. Należy stworzyć katalog, np. /etc/chatscripts.

# mkdir /etc/chatscripts

A następnie w stworzonym katalogu utworzyć pliki /etc/chatscripts/iplus i /etc/chatscripts/iplus-off o następującej zawartości:

/etc/chatscripts/iplus:

TIMEOUT 10
ECHO ON
ABORT "NO CARRIER"
ABORT "NO DIALTONE"
ABORT "ERROR"
ABORT "NO ANSWER"
ABORT "BUSY"
'' 'rATZ'
CLR_ABORT "ERROR"
OK AT+CPIN=1234
'' AT+CGDCONT=1,"IP","www.plusgsm.pl"
OK ATD*99#
ABORT "ERROR"
CONNECT ``

/etc/chatscripts/iplus-off:

ABORT "NO CARRIER"
ABORT "NO DIALTONE"
ABORT "ERROR"
ABORT "NO ANSWER"
ABORT "BUSY"
"" "K"
"" "+++ath"

W pierwszym skrypcie należy ustawić własny PIN. Cała ta dziwna sekcja zaczynająca się od CLR_ABORT służy do ignorowania odpowiedzi ERROR modemu podczas ponownego łączenia, czyli gdy karta SIM jest już odblokowana.

Konfiguracja połączenia

Aby skonfigurować połączenie GPRS (albo EDGE lub HSDPA, ponieważ tutaj o typie połączenia decyduje modem) dodajemy do pliku /etc/config/network:

config interface backup
option ifname "ppp0"
option proto ppp
option device /dev/ttyUSB0
option connect "/usr/sbin/chat -v -f /etc/chatscripts/iplus"
option disconnect "/usr/sbin/chat -v -f /etc/chatscripts/iplus-off"

Aby połączenie to uczynić domyślnym połączeniem WAN zmieniamy linię config interface backup na config interface wan.

Aby używać zapasowego łącza wydajemy komendy:

# ifdown wan
# ifup backup

OpenWRT na miarę naszych możliwości i potrzeb

Krzysztof Burghardt — Sat, 10 Jan 2009 16:06:32 +0000

Ile kosztuje router z 5 portowym zarządzlanym przełącznikiem z obsługą VLAN-ów, Wi-Fi (802.11b/g) z WPA-2 PSK, PPPoA (np. Noestrada), PPPoE (np. Multimo), dwoma portami USB (dyskiem twardym lub flash na USB?), możliwością logowania przez SSH, Firewallem (netfilter/iptables), NAT, QoS (z rozpoznawaniem aplikacji na poziomie warstwy 7), (c|r)torrent, wget, DHCP, DNS z pamięcią podręczną, serwerem WWW i FTP, oidentd z wsparciem dla NAT i na deser obsługą IPv6?

Sprzęt: około 300 złotych. Oprogramowanie: wyłącznie darmowe. Czas instalacji: kilka godzin (najdłuższa część to kompilacja całego systemu operacyjnego i wszystkich pakietów, ale jest ona zautomatyzowana i nie wymaga interwencji użytkownika, a sama instalacja zajmuje kilka minut).

Od czego zacząć?

Zaczynamy od kupna wspieranego przez OpenWRT routera. Chodzi nam wyłącznie o najlepszy sprzęt. Oprogramowanie wymienimy zaraz po zakupie. Według moich priorytetów najlepszym wyborem jest ASUS WL-500g Premium. Na drugim miejscu uplasował się Linksys WRTSL54GS.

Gdy mamy już router

Możemy zacząć od instalacji OpenWRT w wersji WhiteRussian. Opisywać instalacji i konfiguracji WhiteRussian nie będę, każdy najdzie na ten temat wiele informacji. Jeśli się uda i router spełnia nasze oczekiwania możemy skończyć w tym miejscu. Ale jeśli chcemy skonfigurować router w zupełnie dowolny sposób najlepszym rozwiązaniem jest zbudowanie OpenWRT ze źródeł.

Oprogramowanie niezbędne do zbudowania OpenWRT

Do zbudowania OpenWRT w Debianie lub Ubuntu niezbędne jest posiadanie następujących pakietów:

# aptitude install build-essential binutils flex bison autoconf gettext texinfo sharutils subversion libncurses5-dev ncurses-term zlib1g-dev

Źródła z repozytorium Subversion

Pobieramy źródła OpenWRT z repozytorium Subversion:

$ svn co https://svn.openwrt.org/openwrt/trunk/ openwrt-svn
$ svn co https://svn.openwrt.org/openwrt/packages/ openwrt-svn/feeds/packages

Następnie tworzymy dowiązania dla pakietów z katalogu feeds:

$ make package/symlinks

Konfiguracja obrazu OpenWRT

Kolejnym krokiem jest konfiguracja obrazu OpenWRT, wybieramy rodzaj obrazu (np. SquashFS), opcje Busybox, Linuksa i pakietów:

$ make menuconfig

Opcje Target System, Profile, Image

Dla Asusa WL-500gP Target System należy ustawić na Broadcom BCM947xx/953xx [2.6] lub Broadcom BCM947xx/953xx [2.4]. Opcja ta wybiera linię jądra, odpowiednio 2.6 lub 2.4. Generalnie należy wybrać 2.6. Jeśli 2.6 nie będzie działało kolejnym krokiem będzie wypróbowanie jądra 2.4.

Jako Target Profile wybieramy Broadcom BCM43xx WiFi (default). Jeśli mamy inny rodzaj kontrolera sieci bezprzewodowej wybieramy właściwą opcję. Przydatne jeśli wymieniliśmy kartę MiniPCI w routerze np. na opartą na kontrolerze Atheros.

Target Images definiuje rodzaj systemu plików używanego jako /. Najlepszym wyborem jest squashfs zapewniający wyższy stopień kompresji niż jffs2. Drugą ważną różnicą jest to, iż jffs2 umożliwia zapis, a squashfs jest tylko do odczytu. Jeśli wybierzemy squashfs na główny system plików, na routerze zostanie stworzony obszar przeznaczony do zapisywania danych w formacie jffs2.

Advanced configuration options (for developers)

W menu Build Options wybrałem opcje Clean all ipkg files before building the rootfs oraz Use ccache. Pierwsza powoduje przebudowanie wszystkich pakietów za każdym razem, a druga włącza użycie pamięci podręcznej dla plików obiektów. program ccache przyspiesza kompilację w przypadku budowania OpenWRT po raz kolejny, z niewielkimi zmianami w stosunku do poprzedniej konfiguracji.

Natomiast w menu Toolchain Options zaznaczyłem Enable Smash Stacking Protection support, która (przynajmniej teoretycznie) powinna utrudniać wykonywanie kodu przez przepełnienie bufora. Podnosi to (nieco) poziom bezpieczeństwa w przypadku próby wykorzystania przez atakującego tego typu błędów.

Wybór pakietów

Wybór pakietów jest najdłuższą czynnością. Na szczęście dla większości pakietów dostępny jest krótki opis. Mój plik konfiguracyjny dla ASUS WL-500g Premium umieściłem tutaj jako referencję. Może on być użyty jako baza do dalszych eksperymentów albo bezpośrednio do zbudowania OpenWRT w wersji r13858.

Zmiana limitu wielkości dla rootfs

Domyślny limit wielkości obszaru rootfs jest zdefiniowany w tools/firmware-utils/src/trx.c i wynosi 0x5A0000 (większość routerów ma mniej pamięci flash niż WL500GP). W moim przypadku było to zbyt mało aby pomieścić wszystkie aplikacje, a ponieważ router bezproblemowo obsługuje większe rozmiary rootfs powiększyłem rootfs o 1MB. Poniżej patch:

Index: tools/firmware-utils/src/trx.c
===================================================================
--- tools/firmware-utils/src/trx.c (wersja 13876)
+++ tools/firmware-utils/src/trx.c (kopia robocza)
@@ -60,7 +60,7 @@

#define TRX_MAGIC 0x30524448 /* "HDR0" */
#define TRX_VERSION 1
-#define TRX_MAX_LEN 0x5A0000
+#define TRX_MAX_LEN 0x6A0000
#define TRX_NO_HEADER 1 /* Do not write TRX header */

struct trx_header {

Sprzętowo wspomagana biblioteka OpenSSL

Jeśli router posiada Sonics Silicon Backplane (ssb) i rdzeń IPSEC (Core 7 found: IPSEC (cc 0x80B, rev 0×00, vendor 0×4243)) warto w pliku .config włączyć:

CONFIG_PACKAGE_kmod-crypto-ocf=y
CONFIG_PACKAGE_kmod-ocf-ubsec-ssb=y
CONFIG_PACKAGE_ocf-crypto-headers=y

Oraz dodać do biblioteki OpenSSL opcję włączającą wsparcie dla OCF:

Index: package/openssl/Makefile
===================================================================
--- package/openssl/Makefile (wersja 13876)
+++ package/openssl/Makefile (kopia robocza)
@@ -81,6 +81,8 @@
define Build/Configure
(cd $(PKG_BUILD_DIR);
./Configure linux-openwrt
+ --with-cryptodev
+ --with-cryptodev-digests
--prefix=/usr
--openssldir=/etc/ssl
$(TARGET_CPPFLAGS)

Aplikacje używające libssl powinny teraz korzystać ze sprzętowej akceleracji operacji szyfrowania i haszowania. Aplikacje takie to m.in.: OpenVPN, rTorrent i wget. Dropbear (domyślny serwer SSH w OpenWRT) nie korzysta z OpenSSL i dlatego nie jest wspomagany sprzętowo.

Budowanie OpenWRT

Aby pobrać wszystkie niezbędne do zbudowania OpenWRT pliki wydajemy polecenie (jeśli tego nie zrobimy pliki będą pobierane przed budowaniem każdego pakietu):

$ make download

Gdy wszystko jest już skonfigurowane wydajemy polecenie:

$ make world

W zależności od ilości wybranych pakietów, mocy obliczeniowej procesora i ilości pamięci RAM zbudowanie wszystkiego zajmie od kilku do kilkudziesięciu minut. Włączenie ccache przyspiesza budowanie w momencie gdy wprowadzimy niewielkie zmiany w konfiguracji i budujemy OpenWRT po raz kolejny.

Instalacja OpenWRT na routerze

Ta czynność jest bardzo prosta w przypadku WL-500gP. Po odłączeniu routera od zasilania wciskamy i trzymamy przycisk reset. Trzymając reset podłączamy zasilanie. Gdy dioda informująca o stanie zasilania zacznie migać zwalniamy przycisk reset. Podłączamy kabel Ethernet do portu LAN routera i do komputera.

Ustawiamy adres IP na interfejsie eth0:0 za pomocą komendy:

# ifconfig eth0:0 192.168.1.5 up

A następnie przechodzimy do katalogu bin i wydajemy polecenie:

$ atftp --trace --option "timeout 1" --option "mode octet" --put --local-file openwrt-brcm47xx-squashfs.trx 192.168.1.1

Czekamy do zakończenia kopiowania pliku. Po zakończeniu sesji tftp czekamy około 5 minut na zapisanie obrazu OpenWRT w pamięci flash i odłączamy zasilanie. Po ponownym podłączeniu zasilania router będzie bardzo długo startował ze względu na konieczność utworzenia obszaru jffs2 i wygenerowania kluczy SSH routera.

Konfiguracja OpenWRT

Łączymy się z routerem za pomocą telnetu:

$ telnet 192.168.1.1

Następnie ustawiamy hasło:

# passwd

Ustawienie hasła uniemożliwia dalsze logowanie przez telnet. Od tej chwili należy używać wyłącznie SSH. Wylogowujemy się z routera i logujemy za pomocą SSH:

$ ssh root@192.168.1.1

Wyłączanie niepotrzebnych usług

Jeśli nie zamierzamy korzystać z serwera telnet i http możemy je wyłączyć:

# /etc/init.d/telnet disable
# /etc/init.d/httpd disable

Nazwa hosta i strefa czasowa

W /etc/config/system ustawiamy:

config system
option hostname myrouter
option timezone "CET-1CEST-2,M3.5.0/02:00:00,M10.5.0/03:00:00"

Dropbear

Aby włączyć logowanie wyłącznie za pomocą kluczy SSH zapisujemy w /etc/dropbear/authorized_keys nasz klucz publiczny, a następnie w /etc/config/dropbear ustawiamy:

option PasswordAuth 'off'

QoS

Ustawiamy w /etc/config/qos przepływność interfejsu WAN:

option upload 256
option download 1024

Na początek pozostałe opcje warto pozostawić bez zmian.

Thomson SpeedTouch 330, PPPoA i Neostrada

Thomson SpeedTouch 330 otrzymany od TP za 1 zł jest obsługiwany przez Linuksa. Pakiet z firmware również jest obecny w OpenWRT.

W przypadku SAGEM F@st 800 OpenWRT posiada jedynie sterownik. Firmware należy skopiować ręcznie do katalogu /lib/firmware/ueagle-atm po zainstalowaniu OpenWRT.

Aby sprawdzić, czy po podłączeniu do portu USB routera modem został wykryty, oprogramowanie firmware załadowane, a synchronizacja ukończona pomyślnie wydajemy polecenie dmesg | tail. Powinniśmy zobaczyć taki komunikat:

speedtch 2-1:1.0: found stage 1 firmware speedtch-1.bin.4
speedtch 2-1:1.0: found stage 2 firmware speedtch-2.bin.4

ATM dev 0: ADSL line is synchronising
ATM dev 0: ADSL line is up (1312 kb/s down | 320 kb/s up)

Modem jest gotowy i możemy skonfigurować połączenie PPP. W tym celu ustawiamy w pliku /etc/config/network w sekcji WAN configuration:

config interface wan
option ifname "ppp0"
option proto pppoa
option encaps llc
option vpi 0
option vci 35
option username "XXXXXXX@neostrada.pl"
option password "XXXXXXXX"

Aby nawiązać połączenie używamy:

# ifup wan

IPv6

Opcje połączenia IPv6 przez tunel w SixXS definiujemy w /etc/config/aiccu. Konfiguracja radvd znajduje się w /etc/config/radvd.

OpenDNS

Konfigurację OpenDNS na OpenWRT opisałem już wcześniej.

Gdy 8MB pamięci flash to zbyt mało…

Można do portu USB podłączyć dysk twardy USB lub bezgłośny Pendrive na którym można przechowywać pliki pobierane z Internetu. Można na nim również stworzyć partycję wymiany (co przyda się gdy będziemy chcieli uruchamiać więcej programów).

Konfiguracja dodatkowych nośników danych jest przechowywana w /etc/config/fstab. Przykładowa konfiguracja z pratycją /home na pliki uzytkownika, /opt na dodatkowe, niemieszczące się w pamięci flash routera aplikacje oraz partycją swap:

config mount home
option target /home
option device /dev/sda1
option fstype ext3
option options rw

config mount opt
option target /opt
option device /dev/sda2
option fstype ext3
option options rw

config swap
option device /dev/sda3

opkg-link

Aby móc instalować pakiety na zewnętrznej pamięci dodajemy do /etc/opkg.conf linię:

dest usb /opt

Pakiety instalujemy na dysku USB poleceniem:

# opkg -d usb install nazwa_pakietu

Aby dodać link do pakietu w /opt w / możemy użyć skryptu opkg-link. Możemy go skopiować z UsbStorageHowto i zapisać jako /bin/opkg-link.

Podsumowanie

Nieźle jak na sprzęt za niecałe 400 zł (~300 zł router, 80 zł pendrive, 1zł modem DSL), co?

ESE Key Daemon 1.2.4 released

Krzysztof Burghardt — Tue, 23 Sep 2008 19:10:58 +0000

New version of ESE Key Daemon was released today.

Release notes:

Fixed cross-compilation bug reported by hartleys.
Removed debian directory (will try to include esekeyd in Debian).
Removed old directory (Linux 2.4 users can use 1.2.3, but 2.4 support is no longer maintained).
Removed lib directory (any modern (g)libc has getopt).

Download: esekeyd-1.2.4.tar.gz (.asc)

MD5: 5eb8d1b02cdd99d0681e946768e529db
SHA1: 12395b670dbf9ae93573e9cd5f57c51c3572a8aa

Dostęp do Internetu przez telefon z Bluetooth i GPRS

Krzysztof Burghardt — Sat, 05 Apr 2008 15:41:11 +0000

Wczorajsza awaria u mojego providera, która trwa do dziś (i podobno potrwa do 21:00) uświadomiła mi, że modemy kablowe to nie jedyny sposób łączenia się z Internetem. Większość współczesnych telefonów posiada interfejsy bezprzewodowe Bluetooth i IrDA oraz GPRS i CSD. Korzystając z komputera z adapterem Bluetooth (np. na USB) i telefonu możemy zestawić połączenie z Internetem przez publiczny APN. W Polsce każdy operator GSM posiada APN poprzez który można łączyć się z internetem.

Ponieważ używam systemu operacyjnego Debian GNU/Linux i telefonu w sieci Orange poniższy opis będzie związany z konfiguracją w takim właśnie przypadku. Dla pozostałych operatorów i innych dystrybucji niektóre kroki będą inne, ale sposób konfiguracji nie powinien bardzo się różnić.

Bluetooth

Komputer i telefon komórkowy należy ze sobą sparować. Jest to krok konieczny, a sposób jego wykonania jest opisany w każdej instrukcji podłączania jakiegokolwiek urządzenia Bluetooth do komputera z Linuksem więc nie będę tego omawiał.

Gdy telefon i komputer komunikują się bez przeszkód należy poszukać kanału usługi portu szeregowego w telefonie. Wystarczy jeden port szeregowy. Możemy włączyć na chwilę "widoczność" telefonu i wydać komendę:

$ sdptool browse

Jeśli znamy adres sprzętowy naszego telefonu wystarczy podać go jako kolejny parametr (w tym przypadku urządzenie nie musi być "widoczne").

Naszym oczom ukaże się lista usług telefonu. Najbardziej interesujący na fragment wygląda tak:

Service Name: Serial Port
Service RecHandle: 0x10003
Service Class ID List:
  "Serial Port" (0x1101)
Protocol Descriptor List:
  "L2CAP" (0x0100)
  "RFCOMM" (0x0003)
    Channel: 2

Teraz dopisujemy do pliki konfiguracyjnego /etc/bluetooth/rfcomm.conf:

rfcomm0 {
bind yes;
device 00:??:??:??:??:??; # adres sprzętowy telefonu wyświetlony przez sdptool
channel 2; # numer kanału wyświetlony przez sdptool dla portu szeregowego
comment "Serial Port";
}

Restartujemy usługę bluetooth:

# invoke-rc.d --force bluetooth restart

Telefon będzie obsługiwany tak ja modem podłączony przez port szeregowy. Jako pliku urządzenia użyjemy /dev/rfcomm0.

IrDA

Dla połączeń IrDA plikiem urządzenia jest /dev/ircomm0. Po szczegóły konfiguracji odsyłam do Linux-IrDA project.

CSD

Choć pewnie wszyscy czekają na sposób konfiguracji połączeń GPRS zacznę od CSD. Łatwiej je skonfigurować i przetestować, a skonfigurowane już połączenie CSD łatwo przerobić na działające połączenie GPRS.

Połączenia CSD (tzw. "wdzwaniane") przesyłają dane protokołem PPP. W systemie GNU/Linux za obsługe połączeń PPP odpowiada demon pppd.

Konfiguracja pppd

Aby skonfigurować pppd tworzymy w katalogu /etc/ppp/peers nowy plik opisujący połączenie (nazwałem go orange-csd) z następującą zawartością:

user "internet"
connect "/usr/sbin/chat -v -f /etc/chatscripts/pap -T +48501808080"

/dev/rfcomm0
57600

noipdefault
usepeerdns
defaultroute

persist

noauth

Jeśli nie korzystasz z sieci Orange, prawdopodobnie powinieneś zmienić login (pierwsza linia) i numer telefonu (druga linia) na właściwy dla danej sieci.

Następnie dla podanego w tym pliku loginu dopisujemy w pliku /etc/ppp/chap-secrets odpowiednie hasło. Dla Orange (hasło i login są takie same) będzie to linia:

internet * internet *

W pliku chap-secrets cztery pola oznaczają po kolei: login, serwer, hasło i adres IP. Jeśli dostawca wymaga protokołu PAP zamiast CHAP hasło wpisujemy do /etc/ppp/pap-secrets.

Konfiguracja skryptów sieciowych

Konfiguracja pppd jest niezależna od dystrybucji. Połączenie PPP możemy nawiązać poleceniem:

pppd call orange-csd

Jeśli chcemy aby ifup i ifdown obsługiwały również połączenia PPP należy zainstalować pakiet ifscheme i resolvconf, a następnie dopisać do /etc/network/interfaces:

iface ppp0 inet ppp
mapping ppp0
script ifscheme-mapping
map orange-csd ppp0-orange-csd
map orange-gprs ppp0-orange-gprs

iface ppp0-orange-csd inet ppp
provider orange-csd

iface ppp0-orange-gprs inet ppp
provider orange-gprs

Przełączanie pomiędzy trybem GPRS i CSD następuje poprzez wydanie jednego z poleceń:

# ifscheme orange-gprs
# ifscheme orange-csd

GPRS

Jeśli CSD działa (nie działa, albo pominęliśmy jego konfigurację - niepotrzebne skreślić) możemy skonfigurować telefon (o ile nigdy tego nie robiliśmy i nigdy nie korzystaliśmy z Internetu na telefonie np. przez program Opera Mini). Jeśli telefon kupiliśmy w salonie i nic nie zmienialiśmy powinien być już skonfigurowany. Po opis konfiguracji telefonu odsyłam na stronę operatora lub do instrukcji obsługi telefonu. Mając działające połączenie GPRS w telefonie możemy przystąpić do konfigurowania Linuksa.

Konfiguracja pppd

Konfiguracja pppd jest analogiczna jak dla CSD. Tworzymy plik /etc/ppp/peers/orange-gprs z następującą zawartością:

user "internet"
connect "/usr/sbin/chat -v -f /etc/chatscripts/orange-gprs"
disconnect "/usr/sbin/chat -v -f /etc/chatscripts/orange-gprs-off"

/dev/rfcomm0
57600

noipdefault
usepeerdns
defaultroute

persist

noauth

Konfiguracja chat

Połączenia CSD nie potrzebowały skryptów chat do konfiguracji telefonu. W przypadku GPRS jest inaczej. Konieczne jest wybranie konfiguracji telefonu i nazwy APN. Utwórzmy dwa skrypty. Pierwszy znich - /etc/chatscripts/orange-gprs połaczy nas z APN:

TIMEOUT 10
ECHO ON
ABORT "NO CARRIER"
ABORT "NO DIALTONE"
ABORT "ERROR"
ABORT "NO ANSWER"
ABORT "BUSY"
'' 'rATZ'
OK AT+CGDCONT=6,"IP","internet"
OK ATD*99#
CONNECT ``

Najważniejsza w tym skrypcie jest komenda AT+CGDCONT tworząca kontekst PDP. Jej parametry to numer kontekstu (od 1 do 32), tryb pracy (do połączeń z Internetem będzie to "IP") oraz nazwa APN. Nazwa APN jest specyficzna dla sieci GPRS (operatora). Numer kontekstu jest istotny jedynie dla styku DTE-DCE (komputer-telefon) i odpowiada on numerowi konfiguracji połączenia GPRS w telefonie.

Drugi - /etc/chatscripts/orange-gprs-off - będzie służył do rozłączania sesji GPRS:

ABORT "NO CARRIER"
ABORT "NO DIALTONE"
ABORT "ERROR"
ABORT "NO ANSWER"
ABORT "BUSY"
"" "K"
"" "+++ATH"

Konfiguracja skryptów sieciowych

Połączenie GPRS możemy zainicjować poleceniem:

pppd call orange-gprs

Konfiguracja /etc/network/interfaces jest identyczna jak w przypadku CSD.

Podsumowanie

Osoby używające innych dystrybucji powinny dostosować konfigurację do specyfiki dystrybucji. Konfiguracja pppd i chata nie wymaga poprawek (poza ścieżkami oczywiście, jeśli są inne należy je poprawić). Konfiguracja ifup i ifdown przyda się tylko w Debianie, Ubuntu i podobnych. Dla innych niż Orange sieci GSM zmienić należy numer telefonu dla CSD, numer konfiguracji telefonu oraz nazwę APN dla GPRS oraz login i hasło w obu przypadkach.

Telefony

Prędkość połączenia szeregowego została dobrana eksperymentalnie na zasadzie "najwyższa przy której jeszcze działa". Prawdopodobnie inne telefony mogą obsługiwać wyższe prędkości niż 57600. Stabilność połączenia podnosi również wyłączenie użycia protokołu PPP Link Control Protocol (LCP):

lcp-echo-interval 0

W modelu Sony Ericsson T610 jest ona wręcz konieczna. Niektórzy polecają ustawienie jak najdłuższego czasu pomiędzy ramkami LCP (np. maksymalnego - 65535). Należy jednak pamiętać, że jest to czas (0 wyłącza użycie protokołu LCP). Długi czas co prawda, ale gdy upłynie modem i tak nas rozłączy. W połączeniu z opcją lcp-echo-failure 4 będzie on cztery razy dłuższy, ale ryzyko rozłączenia jedynie odwlecze się w czasie (65535 sekund to około 18 godzin).

Instalacja tunera DVB-T Asus My Cinema-U3000 Mini w Debianie

Krzysztof Burghardt — Fri, 14 Mar 2008 22:13:33 +0000

Ostatnio stałem się szczęśliwym posiadaczem tunera DVB-T, z interfejsem USB, firmowanego przez Asusa. Urządzenie wielkości pendrive’a zbudowane zostało z tunera Microtune MT2266 i frontendu Dibcom DiB7000PC (z demodulatorem DVB-T). Nie to jednak przesądziło o zakupie tego modelu. Asus udostępnił źródła zmodyfikowanego na potrzeby My Cinema-U3000 Mini otwartego sterownika, co gwarantuje wsparcie dla tego urządzenia. Niestety sam frontend wymaga firmware, który jest niewolny. Asus przygotował również pakiety binarne dla EeePC, ale bez oryginalnej dystrybucji z EeePC są one zupełnie bezużyteczne.

Instalacja składa się z dwóch etapów. Instalacji firmware oraz instalacji sterownika. Firmware (dvb-usb-dib0700-1.10.fw) należy umieścić w katalogu /lib/firmware/. Użytkownicy Ubuntu mogą zainstalować linux-restricted-modules (w wersji przynajmniej 2.6.24.8-7.18), który zawiera potrzebny plik.

Instalacja sterownika jest bardziej skomplikowana. Sterownik został co prawda zintegrowany z wersją 2.6.25-rc1 jądra, ale w starszych wersjach wymagana jest instalacja zmodyfikowanej wersji z repozytorium Mercurial linuxtv.org. Instalacja sprowadza się do kilku komend:

$ hg clone http://linuxtv.org/hg/v4l-dvb
$ cd v4l-dvb
$ make
# make install

Sterownik można załadować poleceniem:

# modprobe -v dvb-usb-dib0700

Do kompilacji niezbędne są pakiety make, gcc i nagłówki aktualnie używanego kernela.

Instrukcję instalacji w języku angielskim i kilka innych przydatnych informacji umieściłem w DVB Wiki na stronie zatytułowanej Asus My Cinema-U3000 Mini.