依云's Blog

YubiKey 支持多种协议，或者说使用方式、模式，ykman 里称作「application」（应用程序）。很多程序支持多种 application。本文按 application 分节，记录一些自己的研究结果，并不全面。要全面的话，还请参考 ArchWiki 的 YubiKey 页面或者 YubiKey 官方文档。

在 Arch Linux 上，YubiKey 插上就可以用了，不需要特别的驱动方面的设置。有可能某些程序需要装个 libfido2 包来使用它。

Yubico OTP

插上之后，它会有一个键盘设备。摸一下，它就发送一长串字符然后回车。这串字符每次都不一样，并且需要与 Yubico 的服务器通信来验证是否有效。这串字符使用 AES 对称加密，也就意味着 Yubico 服务器也有私钥（你也可以自建服务器自己用）。

所以这是个没什么用的功能。并且在拔下设备时很容易误触，插到 Android 设备上之后输入法的屏幕键盘还可能不出来。所以我把它给禁用了：

ykman config mode FIDO+CCID

FIDO2 / U2F

这个 application 在 Android 上第一次使用的时候会提示设置 PIN。我已经设置好了，也不知道在电脑上会如何。需要注意的是，这个 PIN 可以使用字母，并不需要是纯数字。最多可以连续输错八次，但没有 PIN 被锁之后用来解锁的 PUK。

WebAuthn / Passkey

插上就可以在火狐和 Google Chrome 里使用了。可以在 https://webauthn.io/ 测试。作为可以直接登录的 passkey 使用的话，会要求输入 PIN 和触摸。如果仅仅是作为二步验证使用（比如 GitHub），则只需要触摸即可。

Android 上也是差不多的。不过 Android 支持把 passkey 存储在设备里（还会通过 Google 账号同步），使用 YubiKey 时需要从弹窗中选取「使用其它设备」。如果网站已经在设备里存储了 passkey，那么没有使用 YubiKey 的机会。

SSH

OpenSSH 客户端需要安装 libfido2 包才能支持这些 -sk 结尾的 key。服务端不需要这个库。

有多个选项，具体参见 SSH Resident Key Guide。我总结了两种比较好的使用方式：

ssh-keygen -t ed25519-sk -O resident -O verify-required
ssh-keygen -t ed25519-sk -O no-touch-required

可以选择的 key 类型只有ecdsa-sk和ed25519-sk，并不支持 RSA。resident选项是把 key 存储到 YubiKey 上，之后可以通过ssh-keygen -K下载回来。如果不加这个选项的话，那么仅凭 YubiKey 是无法使用的，得同时有生成的文件。verify-required是验证 PIN。默认是需要触摸的，可以用no-touch-required选项关闭，但是需要服务端在 authorized_keys 里设置这个选项。

从安全角度考虑，如果 YubiKey 丢失，那么仅凭该设备不应当能获得任何权限——所以在使用 resident 密钥时必须验证 PIN（我总不能赌偷或者捡到的人猜不中我的用户名或者访问的服务器吧）。这与自动化执行 SSH 命令相冲突。另一种使用方式，不需要 PIN、不需要触摸，倒是很方便自动化，也可以防止私钥被运行的程序偷走或者自己失误泄露，但是需要服务端设置no-touch-required选项，而 GitHub 和 GitLab 并不支持。倒是可以不同场合使用不同的 key，但是管理起来太复杂了。

resident 密钥倒是可以使用 ssh-add 加载到 ssh-agent 里，之后应该就不需要交互即可使用了。但我现在启动系统要输入硬盘密码，登录到桌面并日常使用的话，还要输入用户密码和火狐主密码，已经够多了，不想再加一个 PIN。所以我还是不用了吧。

我倒是想给 termux 里的 ssh 用 YubiKey，毕竟手机上一堆乱七八糟的闭源程序，外加系统已经失去更新，感觉不怎么安全。但是搜了一圈看起来并不支持。

PAM

安装 pam_u2f 包，然后使用 pamu2fcfg 生成个文件。最后去改 PAM 配置就好啦，比如在 /etc/pam.d/sudo 开头加上

auth            sufficient      pam_u2f.so cue userpresence=1

这样会用触摸 YubiKey 来认证用户。如果把 YubiKey 拔了，pam_u2f 会被跳过。但是 YubiKey 正常的情况下，没有办法跳过 pam_u2f，所以通过 ssh 登录的时候会很难受……好吧，用 pam_exec 还是有办法跳过的，但是它似乎读不到环境变量，只能放个文件来控制，所以还是很麻烦。最好的办法是我在 pam_u2f 运行的时候按一下 Ctrl-C，它就放弃掉就好了，但这个 issue 已经等了快要六年了。

LUKS

cryptsetup 并不直接支持 FIDO2。要使用 systemd-cryptenroll 来添加 keyslot：

sudo systemd-cryptenroll --fido2-device=auto /dev/disk/by-partlabel/XXX

可以用sudo cryptsetup luksDump /dev/disk/by-partlabel/XXX命令看到 systemd 不光添加了一个 keyslot，还同时添加了一个 token 用于存储一些配置信息。

解密：

sudo systemd-cryptsetup attach XXX /dev/disk/by-partlabel/XXX '' fido2-device=auto

或者用 cryptsetup open 也行。但因为添加的 slot 是需要 PIN 的，cryptsetup open 不加 token 相关的选项时会跳过该 slot，直接问你密码。

sudo cryptsetup open --token-only /dev/disk/by-partlabel/XXX XXX

配置好之后，解密 LUKS 设备就不需要输入又长又复杂的密码啦。不过最好还是时不时验证一下自己还记得密码，要是需要用的时候才发现密码因为长期不用而遗忘了就不妙了。我的系统硬盘本来解密的次数就少，就不用它了，只给备份硬盘用了。

OpenPGP

ykman 要管理 OpenPGP 智能卡应用，需要启用 pcscd 服务，但是 GnuPG 可以不用它。

sudo systemctl enable --now pcscd.socket

要让 ykman 和 GnuPG 能同时访问 YubiKey，可能还需要以下设置：

pcsc-driver /usr/lib/libpcsclite.so
card-timeout 5
disable-ccid
pcsc-shared

YubiKey 所有不同 application 的 PIN 是分开的。OpenPGP application 有 PIN 和管理 PIN，默认各能试三次。使用 key 的时候会用到 PIN，导入 key 的时候会用到管理 PIN。初次使用的时候记得用ykman openpgp access命令把默认的 123456 和 12345678 都给改了（不知道为什么我没找到在gpg --card-edit里更改管理 PIN 的方法）。导入的教程可以参考官方文档的 Importing keys。我的型号是 YubiKey 5C Nano，是支持 ed25519 / cv25519 算法的。

把 key 导入到 YubiKey 之后，可以再用ykman openpgp keys set-touch设置一下哪些操作需要触摸。默认是都不需要的。然后正常使用就可以了。

要注意的是，YubiKey 只存储了私钥，所以本地要有公钥才可以正常使用。所以要换个系统使用的话，一种办法是把公钥上传到 OpenPGP 服务器上然后导入，另一种办法是自己导出成文件再导入。

SSH 也可以用 OpenPGP 密钥，所以也能用 YubiKey 上的 OpenPGP 密钥。甚至还能把现有的 ed25519 SSH key 导入进去用（不过我没有尝试）。

PIV

这个 PIV 涉及 PKCS#11，有点复杂。暂时不想研究。

最近到手一个「Bose SoundLink Mini 蓝牙扬声器 II-特别版」音箱，蓝牙名称「Bose Mini II SE SoundLink」。这家伙小巧、沉重，黑色版和我显示器的黑色支架也挺合得来的。然而音质上我遇到了一点问题。

就如同 Bose 产品页说的，它「低音浑厚」。效果就是，只要播放的声音有一点低音，它都给它放大到很明显，震动人心的同时也震动了我的桌面。这用来听强调低音的音乐应该非常有感觉。可是，我听的大部分歌曲都是女声呀。这就像纯净清澈的蓝天蒙上了一层雾霾。

我用白噪声、粉噪声和频率连续变化的正弦波测了一下，用 Spectroid 查看，发现这音箱会加强 100Hz 及 7kHz 附近的声音。所以我把播放的声音处理一下，降低这个地方的强度不就好了吗——嗯，我需要个均衡器。

我记得群里有人提到一个叫 PulseEffects 的软件，于是找了一下。它已经更名为 EasyEffects 啦，不过仅支持 PipeWire。而我还在使用 PulseAudio，于是先装上 pulseeffects-legacy 试了一下。效果十分不错，清澈的女声回来啦（还丢掉了笔记本扬声器所附带的金属感）。不过有点吃 CPU，即使不显示频谱图，也大约得消耗掉 10% 的 CPU。群友说 EasyEffects 的资源占用很小，于是我花了一些时间，切换到 PipeWire 上来啦。

切换起来其实不难，我主要是担心有功能不支持以及遇到 bug。pacman -Syu pipewire-pulse pipewire-alsa wireplumber easyeffects就好啦。然后把 PulseAudio 的服务停掉，PipeWire 的对应物开起来，就切换完毕了。PipeWire 的 PulseAudio 兼容性还不错，pavucontrol 用起来完全没有问题，甚至还解决了之前蓝牙编码器在连接之后从 SBC XQ 变回 SBC 的问题。EasyEffects 的 CPU 占用大约在 4%，低了不少。我关心的另一个问题是网络支持，但我发现这个 PipeWire 也兼容了，同样的命令pactl load-module module-native-protocol-tcp auth-ip-acl=192.168.57.0/24对 PipeWire 也能用。

至于 bug 嘛，确实有一些。虚拟机里通过网络播放的时候，偶尔会卡一下。EasyEffects 有时候会需要重启。刚刚不知道为什么音箱明明是连接上的状态，但是就是没声音。重连之后才恢复。我大概会用一些天，如果不是很严重的话我就不切回去了。

哦对了，easyeffects --gapplication-service 这样启动 EasyEffects 就可以不显示图形界面了。但是依旧需要连接上 Wayland 或者 X11，所以需要安排在图形界面启动之后运行。我给 EasyEffects 写了个 systemd 服务，WantedBy 自己写的 xprofile.target，然后在~/.xprofile的最后启动一下，就可以了。

至于其它系统，Windows 上可以使用 Equalizer APO，Android 上我使用的播放器 Poweramp 也有均衡器功能。而且这俩也是可以给指定的输出设备配置的（不过好像 Equalizer APO 只支持一组配置）。

最后再吐槽一下，作为音箱，做不到把声音完美还原也就算了，就请不要主动乱改好吗……哦对了，手机上的相机不少也有同样的问题。我不反对你们后期搞点效果，但是请不要不支持真实的世界。（经常听女声的人，记得看到「低音浑厚」就离远点儿～）

大上 Paperlike HD 使用有一段时间了，然而有一点我对其非常不满：它需要以 root 权限运行一个图形界面的程序。具体麻烦的地方是：

• 图形界面的程序不方便使用 systemd 管理，那个窗口我得找个地方安放，并且在登出图形界面或者 Xorg 出问题时会随之关闭
• 即使持续运行此程序，当几秒内不使用键盘或者鼠标的时候屏幕就会休眠。这导致我无法将此屏幕用于关注程序日志或者聊天工具的新消息。
• 它持续不断地执行多个线程的任务（读取键盘事件、读取鼠标事件、通过 ioctl 与设备通讯），耗费了不少 CPU
• 在屏幕尚未连接时，它的运行会导致内核不断输出日志「drm_dp_i2c_do_msg: 2 callbacks suppressed」

我曾多次想自己实现一个符合自己使用习惯的方案。

首先当然是 strace 上去啦。这会得到许多类似这样的消息：

ioctl(9</dev/i2c-1<char 89:1>>, _IOC(_IOC_NONE, 0x7, 0x7, 0), 0x7f47d8805b70) = 1
nanosleep({tv_sec=0, tv_nsec=100000000}, NULL) = 0
ioctl(9</dev/i2c-1<char 89:1>>, _IOC(_IOC_NONE, 0x7, 0x7, 0), 0x7f47d8805be0) = 1
nanosleep({tv_sec=0, tv_nsec=200000000},  <unfinished ...>

可以看到它在对 /dev/i2c-1 这个文件进行操作，但是具体内容是个指针，strace 看不到。

我尝试过使用大名鼎鼎的 IDA 的免费版本来分析其具体行为。但我对 IDA 并不熟悉，并且 IDA 只支持 Intel 语法的汇编，而我见的 AT&T 语法的比较多，Intel 的很多表示法我不太能看懂。

后来根据 ioctl 的请求参数找到这个文档，里边有这些 i2c 消息的结构体定义。于是想着先把 ioctl 的数据弄出来看看。一开始尝试用 gdb 去看那个地址的数据，但想到数据是变动的，再加上 gdb 查看太累了，就想起了通过 LD_PRELOAD 去 hook ioctl。

所以又要写 C 了？并没有呢！C 写起来那么不舒服，还是用 Rust 吧～然后搜了一下，还真有现成的用于写 LD_PRELOAD 库的 crate，比如我用的 redhook。不用自己去 dlopen，不用在各处写很多错误处理代码，很容易就写好了。代码链接。

拿到了 ioctl 里用的消息，我不用理会它具体是什么意思，也没办法去猜测，自然是把它按大上提供的程序那个样子给发过去了。于是又一个 Rust 程序出来了。

一开始写的时候不小心往 unsafe 代码块里传了个悬空的指针，导致程序不工作，调试了好久，甚至我都把完整的整个流程给复刻了一遍。这要是用 C 写文本解析的逻辑可头疼了，不过 Rust 写起来就跟 Python 差不多的了～

至于那个 bug，是 Rust 语句中的临时对象（此例中是包含一个对象的数组）会在语句结束之后就释放导致的。有点坑，但也没什么好的办法。

程序运行起来之后就会保持 Paperlike HD 显示器可用，不会报错让装驱动，也不会过几秒就休眠了。我大幅降低了消息发送的频率（由差不多每秒三次改成了三秒才一次），再加上不需要读取键鼠输入，所以 CPU 占用也会大幅减少。另外内核也不会再打印「drm_dp_i2c_do_msg: 2 callbacks suppressed」的消息了，大概是因为消息频率降低了？重新连接显示器之后，和大上原版程序一样有概率出现显示器亮蓝灯、屏幕不工作的情况。拔插一下电源可解。

当然啦，如果有人要用这个程序的话，记得先确认一下你的 i2c 设备文件路径（去 lsof 大上原版程序就行）。另外，使用此程序后果自负，由此造成的任何设备损坏或者其它损失，我都不负责任的哦～

Poker II 是一款可编程的61键机械键盘，是最小的那种，没有 F1-F12 那一行键。跟 HHKB 有些像。这是我第一次使用这么小的键盘，以前都用的84键的。选择它的原因是，更加小巧，没有旁边的光标移动键，使得打字的时候几乎不需要把手挪来挪去的。编程功能似乎也挺有意思的。我手上这把是红轴的，感觉手感也挺好，虽然没有了青轴那清脆的叫声。照片我就不放啦，网上能搜到的。

研究完说明书，发现它的编程功能并没有想像中的那么好。主要缺点如下：

• 非默认层会一直亮着个灯，而默认层又不能编程。
• 只能对非组合键，以及没有预设功能的 Fn 组合键编程。所以额外的 Pn 键很残废。
• 编程结果无法导入导出。所以哪天不小心重置了键盘，这将导致重复而无趣的劳动。

不过也能凑合着用了。最后我的设置是这样的：

不再使用 xmodmap 来交换 Esc 和 Caps Lock。笔记本键盘改用 hwdb，Poker II 使用内建编程功能。于是我可以在别处（比如手机、BIOS、Win10）使用这把键盘而不感觉别扭与小心翼翼。xmodmap 依旧用来把右 Alt 映射为 Multi（Compose）键，用来输入特殊字符，因为我不知道这个键怎么用 hwdb 映射。哦还要在 /etc/vconsole.conf 里去掉之前给 tty 虚拟终端设置的交换 Caps Lock 和 Esc 的 keymap。

红、绿、蓝三个编程层。红层没什么用，暂时留作测试。绿层作为打字用布局，方向键使用 Fn 组合键完成，Esc 位放 `~。蓝层作为看视频的布局，方向键使用右下角的四个键完成，无处安放的 Pn 暂时放 Esc 位。其余共有映射为：

• Caps Lock 位放 Esc。
• 交换 Fn 和右 Alt 键。这样 Fn 键好按一点，反正右 Alt 很少用到。
• 映射两组 Ctrl-PgUp/PgDn 分别到 Fn-Q/E 和 Fn-O/L。这快捷键非常常用，可以在火狐和 Telegram 切换标签页。

Poker II 编程时有个「编程延迟」设置，我一直没搞明白它要怎么用，也导致我的映射一直有问题，按一次出一到两次。直到后来找到这篇文章，才明白它不是个设置，而是个事件，按下它即导致出键码时延迟指定的时间。

另外我没能在 Poker II 上按出 SysRq 来，不知道是怎么回事。

hwdb 的配置方法来自 ArchWiki Map scancodes to keycodes 页面。我的配置如下：

evdev:atkbd:dmi:*
 KEYBOARD_KEY_01=capslock   # esc
 KEYBOARD_KEY_3a=esc        # capslock
 KEYBOARD_KEY_b7=rightmeta  # prtsc
 KEYBOARD_KEY_c5=print      # pause (Fn+P)

把配置放到 /etc/udev/hwdb.d 下的 .hwdb 后缀文件中，然后执行

sudo systemd-hwdb update
sudo udevadm trigger

就好了。

用了几天了。除了 LED 灯老亮着有些刺眼外，一切安好。也终于把 Caps Lock 的设置方法搬到更底层了。

如图：

这面镜子上边有好几百G数据呢，然而早已读不出来了。

镜子来源于九年前的西数移动硬盘。因为太老了所以坏掉了吧，反正是识别不了了。最近看到 YouTube 上有人各种折腾硬盘，群里又有人拆了好几面镜子出来，所以我把它找出来拆啦。这镜子比我那总也擦不干净的丽塔芙镜子清晰多了呢，就是小了点儿。

拆起来也不难。首先想办法把壳弄开。然后见着螺丝就旋下来，见着贴纸就撕掉。那覆盖一个螺丝孔的小圆片不用撕下来，直接螺丝刀往中间捅，然后把螺丝旋下来就好了。

覆盖磁头的那块金属有两个螺丝，其中一个在洞里。它上边有块形状奇怪的磁铁，照片里吸了很多螺丝的就是了。磁头是直接翻个面，让重力把它拉下来就可以了，我之前以为还有螺丝之类的还弄了好久呢，结果手一翻它自己掉下来了。马达中间那个螺丝很不容易取下，因为整体会跟着转。我是用剪刀卡住它的两个洞才给旋下来的。剩下的手拆就可以了。

刚听说就已心动，无奈当时并不支持 Linux。后来由于一些事情耽搁到现在，终于到手了～

显示器整体尺寸是31cm×27cm，其中显示屏尺寸不到26cm×21cm（请注意：手工测量有误差）。分辨率是2200x1650。也就是200dpi多，和我的 Kindle Paperwhite 一代差不多的。

显示器下方是两个纸盒，里边是Y形线（照片中没有）、简易支架（那根根子）、螺丝和仅几百M的驱动U盘。

Y形线是附加了USB电源线的HDMI线。信号走HDMI，电源走USB，所以需要额外占用一个USB口。当然接充电器上也是可以的，只是在电脑边接个充电器更不方便。

工作时，USB端口的电流为30～50mA左右，并不像说明书上说的需要2A那么多，挺省电的。对比之下，我的罗技鼠标接收器也需要15mA左右的电流呢。

线都接上之后，屏幕会闪几下，然后就可以用了。只是每隔几分钟会弹出提示信息，要求安装并运行所谓的「驱动」。下图是默认的 floyd 模式：

为了更多的模式，以及最重要的，别显示那个提示信息，需要安装并运行大上提供的软件。

软件是为 Ubuntu 提供的，但是 Arch 下也可以使用。下载并解包，将得到的三个文件「PaperLikeHD」、「ResChange」、「DS.ico」放到/usr/local/sbin/下，然后sudo PaperLikeHD 运行，会弹出一个包含一列按钮的窗口。不给 root 权限是不行的，会什么也不做就退出。

但是这样还不够。我使用的时候它总是报告找不到显示器。客服不肯告诉我它到底使用什么机制检测的，所以我 strace 又反汇编看了一下，最后发现它在找 /dev/i2c-* 设备文件，而我的系统上没有它们。看了一下一堆以 i2c 开头的内核模块，最后发现只要加载 i2c-dev 模块就好了。大上的软件需要一些时间来检测，等一会儿它就会在终端打开出「setting...50」这样的文字，这时就好了。

过程中我还专门启动到 Ubuntu live 系统里测试来着。后来才知道原来是自己的手速太快，软件还没检测到，其实等等就好 (╯‵□′)╯︵┻━┻

从图片中可以看到，floyd 模式的显示很粗糙。这是因为它实际上只有二阶灰阶，通过不同密度的点来近似不同的灰度。虽然显示有很严重的颗粒感，但是它响应飞快，常规打字操作时几乎感觉不到延迟，很适合写作和阅读文本。而真正的二阶灰阶模式 A2，只有黑白两色，虽然依旧反应快速，但是因为非黑即白，只能用来读纯文本，任何阴影或者灰色的字都不好处理。

16灰阶的 A16 模式，显示清晰、层次丰富，但是响应速度非常慢。也不是非常啦，除了屏幕大小外，无论显示效果还是响应速度都跟我的 Kindle 一样的。而与 Kindle 不同的是，它会在更新时将更新区域变黑再显示，造成闪烁。在此模式下使用鼠标非常非常费力，任何非静止的元素（比如火狐载入中的动画、时钟、光标移动）都挺分散注意力的。

以上都是所谓的「可变分辨率模式」。另外有个「固定1100x825模式」，也就是使用一半的分辨率。至于另一半去了哪里，看看它所支持的模式就能猜到了：

• A5，也就是五灰阶。这是用四个墨滴来显示一个像素，每个墨滴只有黑与白两种状态。
• A61，所谓的61灰阶。也是用四个墨滴来显示一个像素。不过每个墨滴竭尽所能有16种状态，也不知道大上是怎么组合出这61灰阶的。

也不知道大上为什么把这两种墨滴用法叫作「可变分辨率模式」和「固定1100x825模式」。哪里可变了，又哪里固定了呢？这两种模式切换时，会调用「ResChange」程序，它会影响当前的显示器布局，需要重新使用 xrandr 进行设置。

以下是各种模式显示这个灰阶测试网页的照片：

A2 模式：

A16 模式：

floyd 模式：

A5 模式：

A61 模式：

半分辨率下，清晰度做出了很大的牺牲。以下是 A16 和 A61 模式显示 PaperLikeHD 软件自身界面的效果对比：

在 A2、A5、floyd 模式下，可以调节对比度，也就是墨滴到底显示为黑还是为白的阈值，以在显示不同的页面时都能将文本与背景良好区分开。

和 Kindle Paperwhite 不同的是，它没有背光。在晚上的时候，屏幕偏暗，附加一个台灯光源比较好。不过它的屏幕也不像 Kindle 那样偏黄。

这篇文章最终定稿，就是在 PaperLikeHD 上完成的，使用的是 floyd 模式。我个人觉得半分辨率的几个模式很鸡肋。目前觉得，写作用 floyd 模式，文本阅读使用 A2 模式，网页阅读使用 A16 模式，这样最好了～

floyd 模式还有个问题：在显示某些图片时（比如我的 Awesome 桌面壁纸），那些墨滴颗粒会不断地抖动，就像风在吹沙粒一样……

最后，这里是大上的官网链接。