Arch Linux on T.本秋的自留地

简单了解和手动使用 TPM

Tue, 05 May 2026 16:49:51 +0800

最近疯狂迷恋 tpm，这个小玩意究竟是怎么实现基于设备的安全的？

tpm 的相关属性
#

第一步，我们先看下 tpm 有什么变量是可以被改变的：

sudo tpm2_getcap properties-variable

第一组：永久属性组 (PT -> Property)
#

TPM2_PT_PERMANENT:
  ownerAuthSet:              0 # 所有者鉴权密码
  endorsementAuthSet:        0 # 背书鉴权密码
  lockoutAuthSet:            0 # 锁定鉴权密码
  reserved1:                 0
  disableClear:              0
  inLockout:                 0
  tpmGeneratedEPS:           1
  reserved2:                 0

第二组：启动时状态
#

TPM2_PT_STARTUP_CLEAR:
  phEnable:                  1 # 平台层级，也就是你可以在系统里面清除tpm所有信息
  shEnable:                  1 # 存储层级，其实跟owner是一样的
  ehEnable:                  1 # 背书层级
  phEnableNV:                1
  reserved1:                 0
  orderly:                   1

第三组：句柄资源 (HR -> Handle Resource)
#

TPM2_PT_HR_NV_INDEX: 0x5
TPM2_PT_HR_LOADED: 0x0 # 当前已加载密钥
TPM2_PT_HR_LOADED_AVAIL: 0x3 
TPM2_PT_HR_ACTIVE: 0x0 # 已激活的会话
TPM2_PT_HR_ACTIVE_AVAIL: 0x40 
TPM2_PT_HR_TRANSIENT_AVAIL: 0x3 # 临时会话，从存储读入内存
TPM2_PT_HR_PERSISTENT: 0x0 # 可以永久存储的槽位
TPM2_PT_HR_PERSISTENT_AVAIL: 0x2

第四组：锁定相关配置
#

TPM2_PT_LOCKOUT_COUNTER: 0x0
TPM2_PT_MAX_AUTH_FAIL: 0xC8
TPM2_PT_LOCKOUT_INTERVAL: 0x0
TPM2_PT_LOCKOUT_RECOVERY: 0x0

第五组：杂项
#

TPM2_PT_NV_COUNTERS: 0x0 # 非易失标志位
TPM2_PT_NV_COUNTERS_AVAIL: 0x8
TPM2_PT_ALGORITHM_SET: 0xFFFFFFFF
TPM2_PT_LOADED_CURVES: 0x3
TPM2_PT_AUDIT_COUNTER_0: 0x0 # 审计日志
TPM2_PT_AUDIT_COUNTER_1: 0x0

不同层级
#

Owner Hierarchy: 你平时用来创建密钥、存储数据的权限。

Endorsement Hierarchy: 涉及设备隐私和证书的权限。

Lockout Hierarchy: “锁定控制”权限，用于控制锁定策略：

允许多少次普通密码尝试后进入锁定模式 (TPM2_PT_MAX_AUTH_FAIL)
被记录下连续失败后，过多久次数才能减一 (TPM2_PT_LOCKOUT_INTERVAL)
进入锁定模式后，过多久才能解锁 (TPM2_PT_LOCKOUT_RECOVERY)

⚠️注意：如果你是在验证以上三种层级的管理密码，比如用 tpm2_clear -C o -c -p 的时候，只有一次机会，失败立即进入锁定模式。

你将被限制到 TPM2_PT_LOCKOUT_RECOVERY 的时间秒数之后才能解锁。这两个时间设成 0，永远解不了，只能清除。

Platform Hierarchy: 唯一不受 DA 限制的密码尝试。但是就算你拿到了权限，除了能够清除所有的密钥和密码，没有任何别的权限。

初始化自己的 tpm 配置
#

清除：tpm2_clear

有的平台可以直接用tpm2_clear -c p清掉，有的不行只能到 bios 里面清。

修改锁定设置：tpm2_dictionarylockout (也叫 DA，dictionary attack)

# 分别对应上面的“锁定层级”的三个变量，下例为windows标准设置
sudo tpm2_dictionarylockout -s -n 32 -t 7200 -l 86400

修改密码：tpm2_changeauth

sudo tpm2_changeauth -c lockout <new_password>

这里有个彩蛋，windows 一开始看到新的 tpm，跟我们一样改完了，直接把钥匙扔了，惊喜吧？

所以你只能重置，然后自己设个密码，好在 windows 不会改你的密码回去。

开始使用
#

创建主密钥，得到一个 tpm 的内存快照，这个主密钥，相比于密钥的说法，其实更是一个 token，因为是由 TPM 这一个生命周期的种子派生的，所以每次用同样的输入得到同样的输出，这里不是指的 ctx 的 hash 相同，而是每次读取的公钥相同。

如果还原了 tpm，签名会变，ctx 永远不再可用。

# 创一个新的
❯ tpm2_createprimary -C o -c primary2.ctx
name-alg:
  value: sha256
  raw: 0xb
attributes:
  value: fixedtpm|fixedparent|sensitivedataorigin|userwithauth|restricted|decrypt
  raw: 0x30072
type:
  value: rsa
  raw: 0x1
exponent: 65537
bits: 2048
scheme:
  value: null
  raw: 0x10
scheme-halg:
  value: (null)
  raw: 0x0
sym-alg:
  value: aes
  raw: 0x6
sym-mode:
  value: cfb
  raw: 0x43
sym-keybits: 128
rsa: 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

# 读一个之前创的
❯ tpm2_readpublic -c primary.ctx
name: 000bf2c2daef8da6f674f7cdd47edb780e14baec9ed14a212904d79ca92c93e05c7c
qualified name: 000b8a569c59019bf73a23befe7aeb9e54c74470737c0288f63d2481324388e1edfb
name-alg:
  value: sha256
  raw: 0xb
attributes:
  value: fixedtpm|fixedparent|sensitivedataorigin|userwithauth|restricted|decrypt
  raw: 0x30072
type:
  value: rsa
  raw: 0x1
exponent: 65537
bits: 2048
scheme:
  value: null
  raw: 0x10
scheme-halg:
  value: (null)
  raw: 0x0
sym-alg:
  value: aes
  raw: 0x6
sym-mode:
  value: cfb
  raw: 0x43
sym-keybits: 128
rsa: c26b4cbadd50e487645f22d72f378953282d9a95036f09815fd91b2fd360f85517e730b19c1ba5668452b4ceca94a38aa6883ba6204f1ea4f72bd644190186fd1806f486e0e9de1ebe4fd64f618a0aac2d120e766bd0575f19b0ecce6ff55df47bacdffb8a431ac8d75cadff88ec62f149ae99ea210da4ba315b2d849b1e2b9196f7baac40ee34382f063e69af448b0c5812319b1efaa7cdffe50d3e4c396e427b270c95676b48168b2b90de555dd1cb46cbdeaed6c4f5c8466fa6a977af67a70efdf673a05b3fe7577bfb7d55991a0b7e94e917fc2533975c13c26231b3d2f6e990c395f963728f3dcaecd8f656f4a5a709fbd5c7edbda773ce960d0c9076c3

加密文字
#

在主密钥下面创建一个子密钥：

echo -n "hello" | tpm2_create -C primary.ctx \
  -u key.pub -r key.priv \
  -i- \
  -p "123456"

生成一个 tpm 的内存快照：

tpm2_load -C primary.ctx -u key.pub -r key.priv -c key.ctx

把它持久化到 tpm 的对象里面：

sudo tpm2_evictcontrol -C o -c key.ctx 0x81010002

有点乱？总结一下

命令说明： tpm2_create 指的是创建一个"密封信件",这个信件有公钥来标识身份，有加密 blob 来给 tpm 读。 tpm2_load 则是让 tpm 读取这个密封信件，他生成一个内存快照 (token)，这个东西可以持久化来被 tpm 引用（成为永久句柄）。 tpm2_evictcontrol 如果-c 加的是文件，然后再跟上地址，语义就是把这个文件持久化到 tpm 的一个句柄中；如果-c 加的是一个地址，那么则是把这个持久句柄驱逐。

对这里出现的文件进行说明：

key.pub 可以开放给别人看
key.priv 是被 tpm 加密的对象，只有 tpm 才能解密
key.ctx 是 tpm 的内存快照，和 0x 开头的是同一个类型的东西，都可以被-c加载

所以我们给他解个密：

❯ tpm2_unseal -c key.ctx -p 123456
hello%
❯ tpm2_unseal -c 0x81010002 -p 123456
hello%

验证签名
#

既然懂了一些，我们就不要用 rsa 了，用 ecc，只需把所有的创建密钥的过程加-G ecc就行。

如果要删除之前的，善用 evictcontrol。

重新创建 ecc 的主密钥：

tpm2_createprimary -C o -G ecc -c ecc_primary.ctx

创建一个签名的对象：

tpm2_create \
  -C ecc_primary.ctx \
  -G ecc256:ecdsa \
  -u ecc.pub \
  -r ecc.priv \
  -p 123456

加载：

tpm2_load \
  -C ecc_primary.ctx \
  -u ecc.pub \
  -r ecc.priv \
  -c ecc.ctx

持久化：

sudo tpm2_evictcontrol -C o -c ecc.ctx 0x81020000

生成一个固定的挑战，用于验证（其实真正的过程中，每次都是不同的）：

head -c 32 /dev/urandom > challenge.bin

用 tpm 自带的工具验证：

❯ tpm2_sign \
  -c 0x81020000 \
  -g sha256 \
  -s ecdsa \
  -o sig.tss \
  -p 123456 \
  challenge.bin
❯ tpm2_verifysignature \
  -c 0x81020000 \
  -g sha256 \
  -s sig.tss \
  -m challenge.bin
# 返回0，通过

整活
#

接下来把这个接入 pam。

导出公钥：

tpm2_readpublic -c 0x81020000 -f pem -o /etc/tpm-ecc.pub.pem
chmod 644 /etc/tpm-ecc.pub.pem

用我这个项目试试，仅供娱乐：

#%PAM-1.0

auth       required                    pam_faillock.so      preauth
auth       [success=3 default=ignore]  pam_tpm_ecc.so       key_handle=0x81020000 pubkey=/etc/tpm-ecc.pub.pem
-auth      [success=2 default=ignore]  pam_systemd_home.so
auth       [success=1 default=bad]     pam_unix.so          try_first_pass nullok
auth       [default=die]               pam_faillock.so      authfail
auth       optional                    pam_permit.so
auth       required                    pam_env.so
auth       required                    pam_faillock.so      authsucc

polkit
#

这玩意，搞那么复杂的权限管理，还用模板，没折腾死我。

他每次授权的时候启动一个 helper，这个 helper 有 root 权限，但是启动的时候被 systemd 限制了一大堆特权，我们得用 drop-in 给他加回来：

sudo systemctl edit polkit-agent-helper@

# Editing /etc/systemd/system/polkit-agent-helper@.service.d/override.conf
[Service]                        
DeviceAllow=/dev/tpmrm0 rw
BindPaths=/dev/tpmrm0

彩蛋
#

一发入魄：

❯ sudo tpm2_dictionarylockout -s -n 10 -t 600 -l 60
WARNING:esys:src/tss2-esys/api/Esys_DictionaryAttackParameters.c:310:Esys_DictionaryAttackParameters_Finish() Received TPM Error 
ERROR:esys:src/tss2-esys/api/Esys_DictionaryAttackParameters.c:108:Esys_DictionaryAttackParameters() Esys Finish ErrorCode (0x0000098e) 
ERROR: Esys_DictionaryAttackParameters(0x98E) - tpm:session(1):the authorization HMAC check failed and DA counter incremented
ERROR: Failed DictionaryLockout Setup
ERROR: Unable to run tpm2_dictionarylockout
❯ sudo tpm2_dictionarylockout -s -n 10 -t 600 -l 60
WARNING:esys:src/tss2-esys/api/Esys_DictionaryAttackParameters.c:310:Esys_DictionaryAttackParameters_Finish() Received TPM Error 
ERROR:esys:src/tss2-esys/api/Esys_DictionaryAttackParameters.c:108:Esys_DictionaryAttackParameters() Esys Finish ErrorCode (0x00000921) 
ERROR: Esys_DictionaryAttackParameters(0x921) - tpm:warn(2.0): authorizations for objects subject to DA protection are not allowed at this time because the TPM is in DA lockout mode
ERROR: Failed DictionaryLockout Setup
ERROR: Unable to run tpm2_dictionarylockout

字形、字体以及我的配置

Fri, 18 Apr 2025 23:38:19 +0800

终于受不了终端里那丑得要死的宋体了，开干！XML？拿来把你！

衬线，无衬线，等宽
#

这大概是三种最常见的字形了。

衬线（Serif)
#

简单来说，就是字体有小学练字的时候的老师要求你有的那种笔锋。

对于英文版来说，很常见的是Times New Roman ，需要注意的是这是一个版权字体。

而对于中文版，衬线字体一般跟宋体都是同一个意思了。不过名字还是会有区分：宋体，仿宋（这个公文用的很多）,楷体，这些字体的版权都是归属于中易中标，得小心。还有一部分宋体是方正的，名字就是方正 xx。

无衬线（Sans-Serif）
#

人们发现，衬线字体虽然打印出来显示效果不错，但是在屏幕上，每个字是由像素点组成的，在早期分辨率差的屏幕上，衬线字体的各种装饰部分显示效果也很差。于是就出现了无衬线的字体，简化了装饰部分，使得在屏幕上更易读。

中文，微软雅黑，算是一个历史包袱非常重的字体了，在 windows 上几乎是独占，效果也比其他字体好，后面还出现了一个等线，在雅黑的基础上简化了。微软名字命名的，优化好点也正常吧（？但是这是微软的小动作！

英文，Arial，这个字体名字不怎么出名，但是你在显示器上看到的，基本都是它。

等宽（monospace）
#

这一种字体是专为代码显示设计的，因为缩进的时候能够更好的对齐，在终端中，也能让 Tab 更好的对齐；而且易于分辨I l以及O 0。

我感觉中文和英文的这些名字，常人应该很少能听到吧？只怪 Windows 和生态的软件把用户驯化得太好了，如果不是用 Arch，我可能也不会去了解这些内容。

你问我现在用的什么字体呢？FiraMono Nerd Font以及Noto Sans Mono CJK SC，这两种字体都是开源的，接下来讲一下他们。

开源字体
#

对于英文字体来说，有一套字体叫做liberation，全面实现了对 Windows 上面的常见字体的兼容，这套字体是红帽开发的。

而对于中文，则是思源/Noto

为什么要 Adobe 和 Google 要开发思源字体/Noto CJK 呢？

Google 在 Android 4.4 之前使用的字体问题很多，不支持的字符有 fallback，导致显示效果不一致。而 Adobe 的软件使用字体会造成版权争议，同时有自己的字体部门。两家公司一拍即合，由 Google 出资、提供建议，Adobe 设计字体，最终出现了这套字体。这套字体可以说是开源的大胜利了，后面还有以此衍生的更纱黑体。

还有别的开源字体，霞鹜文楷，得意黑什么的，就不一一介绍了。

值得一提的是，这不是第一套中文的开源字体。在 AUR 上你还能看到文泉驿这款字体，至今有二十年了。虽然它的名字很诗意，但是在 Noto 之后，已经鲜有人用了，也没人维护了。

思源黑体极大的提高了 Linux 图形界面上面的字体显示体验，不过我早期使用的时候没注意，从 AUR 下载了 Windows 的兼容字体，使得终端一直在随意 fallback 一些奇怪的字体（捂脸），最近才决定了解一下，从而有了这篇东西。

系统字体调优
#

Arch
#

管理字体，现代的 Linux 系统基本都是 fontconfig 了。我们主要是用fc-cache,fc-match两个命令。

先看看你的三种字体会匹配什么？

fc-match serif # 添加-a 参数可以显示依次匹配的字体
fc-match sans-serif
fc-match monospace

我的是这样的：

[texsd@texsd-spin ~]$ fc-match sans-serif
NotoSansCJK-Regular.ttc: "Noto Sans CJK SC" "Regular"
[texsd@texsd-spin ~]$ fc-match serif
NotoSerifCJK-Regular.ttc: "Noto Serif CJK SC" "Regular"
[texsd@texsd-spin ~]$ fc-match monospace
FiraMonoNerdFontMono-Regular.otf: "FiraMono Nerd Font Mono" "Regular"

如果群魔乱舞的话，还是先去装一个noto-cjk包吧。

安装字体包在/usr/share/fonts目录，安装时会自动执行fc-cache -fv来刷新字体缓存，你也可以手动来刷新它们。

我还额外安装了otf-firamono-nerd来实现 shell 的 emoji 图标，记住不！要！安！装！nerd-fonts 包集！那总共有7GiB+！

我是强烈推荐去修改默认字体配置文件的，虽然 xml 的可读性确实不怎么样，但是根据别人的改嘛，查找替换也不算太难。这里就贴一下我的方案吧： ~/.config/fontconfig/conf.d/99-notocjk.conf

<!-- 在每个字体最后都配置了emoji，使得使用rime的时候候选框显示正确的emoji -->
`<?xml version='1.0'?>
<!DOCTYPE fontconfig SYSTEM 'urn:fontconfig:fonts.dtd'>
<fontconfig>
 <!-- 配置黑体-->
 <match target="pattern">
  <test compare="contains" name="lang">
   <string>zh</string>
  </test>
  <test name="family" qual="any">
   <string>sans-serif</string>
  </test>
  <edit binding="strong" mode="prepend" name="family">
   <string>Noto Sans CJK SC</string>
   <string>Noto Color Emoji</string>
  </edit>
 </match>
 <!-- 配置宋体-->
 <match target="pattern">
  <test compare="contains" name="lang">
   <string>zh</string>
  </test>
  <test name="family" qual="any">
   <string>serif</string>
  </test>
  <edit binding="strong" mode="prepend" name="family">
   <string>Noto Serif CJK SC</string>
   <string>Noto Color Emoji</string>
  </edit>
 </match>
  <match target="pattern">
  <test name="family" qual="any">
    <string>monospace</string>
  </test>
  <edit binding="strong" mode="prepend" name="family">
 <!-- 这里等宽配置了两个字体，原因是FiraMono没有中文的等宽字体，下面写上Noto的等宽字体就可以自动fallback了-->
    <string>FiraMono Nerd Font Mono</string>
   <string>Noto Sans Mono CJK SC</string>
   <string>Noto Color Emoji</string>
  </edit>
    </match>
   <match target="font">
  <edit name="hinting" mode="assign">
   <bool>true</bool>
  </edit>
 </match>
 <match target="font">
  <edit name="hintstyle" mode="assign">
   <const>hintfull</const>
  </edit>
 </match>
 <dir>~/.local/share/fonts</dir>
</fontconfig>

总共三段内容，分别对应衬线，无衬线，等宽，按照自己的喜好修改即可。不知道字体名字可以用fc-match -a查看引号内的字体名称，或者看桌面设置里面的字体选项。

Win
#

Windows 中文版默认是使用微软雅黑的，修改需要改注册表。所以一般来说我们都会在软件里面单独修改，像 Firefox，Windows Terminal，VSCode 都支持。而其他的应用我选择用微软雅黑，因为 Windows 运行的旧应用很多都是硬编码微软雅黑的，调整他们会导致一些奇怪的问题，下面说说。

这是个版权字体（属于方正）正因为如此应该不少人吃了官司吧（？

点阵字体和矢量字体
#

点阵字体是以前低分辨率的时代使用的，现在已经基本淘汰了。但是你可能偶尔还能看到有人发那些锯齿感字体非常严重的图片，那大概就是用 xp 截图出来的。

现代系统基本都是矢量字体，这些字体是通过贝塞尔曲线画出来的。Windows 为了兼容旧的程序和低分屏，要求字体都要支持 Hinting。而自带的微软雅黑对此有优化，别的字体就不太行。但是微软雅黑尽力了，没法避免 100% 下的字体发虚。所以还是换 4K 屏吧，200% 的比例放大下，字体渲染还是可以的。

想了解这篇细节，可以看看Windows 的字体渲染的一些鸟事

参考
#

https://github.com/oodzchen/dotfiles/blob/main/dot_config/fontconfig/fonts.conf

我的 ArchLinux 折腾记录

Mon, 09 Dec 2024 15:42:53 +0800

前言
#

暑假的时候在我的掠夺者·擎 neo 上面第一次纯手动安装了 Arch，过程很有意思，但是后面烂到家的 NV 驱动让我受不了。

我在 win 下喜欢开独显直连模式，但是在 arch 下就有很大问题：每次睡眠，内建显示器的亮度都会自动开到最大。

~~我试过很多办法，都很难实现记忆之前的亮度。只有在 BIOS 里面开启混合模式才会出现 intel_backlight，这真是太折磨了。~~

~~最后，我的评价是，别在日用的电脑上面用 n 卡和 linux！~~

其实是有办法的，给睡眠加个钩子保存亮度，然后唤醒的时候读取文件并还原亮度。也是勉强能用的。（果然水平提高了就有新办法

物色新机
#

作为一个穷学生，已经花了大几千实现臭打游戏的目标，无论怎么说都不太好再拿出几千买电脑。开始我把目标锁定在 3k 左右，然后降到 2k，最后 1k。

正好这段时间有国补，就在看鸡哥的 14x，但是各种说品控差让我望而却步。后面又看火影的 6800 二手，感觉周边又差一点。

怎么，你又开始后悔没有买 6800 以上的 u 了？！其实只是舍不得出那么多钱罢了！

几番挑选，我决定捡洋垃圾，目光投向了 chromebook。这样，就有了这篇文章的主角：Acer Spin713 二代 (cp713-2w)。在海鲜市场的 js 以 1050 的价格拿下。

配置是 i5-10210u，马甲什么的我不是很在意。我在意的是这块屏幕好像是夏老师之前提到的网格纱窗屏，凑近看确实观感不太好，其实，我根本不需要触摸屏的，但是换不得呀！

默念 1050…默念 1050…默念 1050…

安装过程
#

用 Arch 怎么能不手动安装呢？

但是 ArchInstall 真的太香了！连好网络分好区，设置好一些东西，直接重启就看到 sddm 了。

然而，像装黑苹果一样，大家都是装完了然后开系统信息截屏。装完 Arch 你也可以fastfetch，然而，这一切仅仅是个开始…

输入法设置
#

首先得有输入法吧？

我用的是 fcitx5 + rime + 雾凇拼音的组合，最终效果还不错。

首先安装 fcitx5、rime 和雾凇拼音：

paru -S fcitx5 fcitx5-rime rime-ice-git ## 可以用archlinuxcn源的

根据雾凇拼音的配置方案，把这段配置加入 rime 输入法：

# $HOME/.local/share/fcitx5/rime/
patch:
  # 仅使用「雾凇拼音」的默认配置，配置此行即可
  __include: rime_ice_suggestion:/
  # 以下根据自己所需自行定义，仅做参考。
  # 针对对应处方的定制条目，请使用 <recipe>.custom.yaml 中配置，例如 rime_ice.custom.yaml
  __patch:
    key_binder/bindings/+:
      # 开启逗号句号翻页
      - { when: paging, accept: comma, send: Page_Up }
      - { when: has_menu, accept: period, send: Page_Down }

进入设置里面，输入与输出 - 键盘 - 虚拟键盘把 fcitx5 打开，这时候才会在语言和时间下面出现输入法。如果因为 kde 的 bug 出不来的话，重启或者重装吧。
输入法 - 添加输入法，选择中州韵。这里建议点击中州韵的配置，然后把“切换输入法的行为”修改成“提交原始字符串”。
基本完成了。不过如果没有配置字体，会导致 emoji 显示空白。可以参考我的字体方案来解决问题。
如果想要让 fcitx5 符合 breeze 的外观，可以安装这个包：fcitx5-breeze，然后在输入法 - 配置附加组件 - 经典用户界面 - 主题里面修改成 KDE Plasma 来实现。

Locale 设置
#

默认在安装的时候大家都会选择en_US.UTF-8，这是为了避免 tty 不支持中文显示。不过在安装完毕后，一般都会重新编译zh_CN.UTF-8的语言支持。

这里我选用了一些特殊的设置方式，而不是直接设置LC_ALL。原因是让各种工具提示的信息和显示的日志为英文，同时让单位之类的显示符合国内的习惯。

配置像这样：

# /etc/locale.conf
LANG=zh_CN.UTF-8           # 默认界面语言为中文
LC_MESSAGES=en_US.UTF-8    # 强制日志和错误信息用英文
LC_PAPER=en_SG.UTF-8       # 纸张尺寸 A4
LC_MEASUREMENT=en_SG.UTF-8 # 公制单位（米、升、℃）
LC_TIME=en_SG.UTF-8        # 24 小时制时间

参考archwikicn-安装教程

对 chromebook 的折腾过程
#

声音驱动
#

众所周知，Chromebook 很多型号的声音驱动一直是个大问题，windows 上面甚至得付费才有驱动，而我装好一进来也是没有声音的。

很幸运的，在 Chrultrabook 上面提示 Linux 是完全支持的。然后我就找到了这个项目：

WeirdTreeThing/chromebook-linux-audio

Script that enables audio support on many Chrome devices running various Linux distros

Python

486

直接一键部署，太舒服了！不过似乎不支持 Ubuntu。

后来，在 alsa 的一次更新后，我的喇叭不出声了，翻了下 issue，这里提到重新安装加上这个参数就可以了：

./setup-audio --branch syntax-7

按键映射
#

Chromebook 的键盘比较特殊，没有Del，没有Ins。原来Capslock的位置现在变成了Meta(Win) 键。而左Alt和Ctrl就变得非常大。

写声音脚本的这位兄弟顺手写了个按键映射：

WeirdTreeThing/cros-keyboard-map

Utility to generate keyd configurations for use on Chromebooks

Python

119

这个工具映射了上面的功能按键，让Meta+功能键可以实现原来的功能，然后单独按下功能键就是F1-F10。调节键盘背光，则是按下leftAlt+亮度按键。

我手动对这台笔记本的按键进行定制：

让锁屏按键变成Del
rightAlt加上锁屏按键变成F11，加上Backspace变成F12
删除了一些冗余的配置，避免了之前为了通用一刀切导致的物理音量键变成F8/F9的 bug

[ids]
k:0001:0001

[main]
f13=delete
rightalt = layer(rightalt)

[meta]
f1 = back
f2 = forward
f3 = refresh
f4 = f11
f5 = scale
f6 = brightnessdown
f7 = brightnessup
f8 = mute
f9 = volumedown
f10 = volumeup
backspace = f12

[alt]
f6 = kbdillumdown
f7 = kbdillumup

[rightalt]
f6 = kbdillumdown
f7 = kbdillumup
backspace = f12
f13 = f11

[control+alt]
f13 = C-A-delete

另外值得一提的就是，键盘上面所有的英文全部都是小写的。

充电
#

充电限制
#

首先需要安装 ectool，这一个工具可以在 aur 的fw-ectool-git下载，fw 代表的是 framework book，这个笔记本使用的是开源的 ec，正好 chromebook 也是这个，所以可以通用。

ectool 可以控制系统的充电情况。不过可惜我这一台是 10 代的，不支持 sustainer，也就是说 ec 不能实现在某个区间自动断电。所以只能写一个脚本来控制系统的充电情况。尽管这样还是有一些限制，比如说关机充电可能就会充到满。

接下来我会对我使用的一些脚本进行解释。

charge_control.sh：这是主要进行控制的脚本，里面有两个功能，一个是--check-battery，这个参数会检测电池电量，如果超过了 78，就会自动设置成 idle 模式，同时关闭计时器，避免进行无谓的计时；另一个是--connect-charger，这个用于 udev 的控制。
check-battery.service(timer)：尝试一下 systemd-timer，为后续的启动和停用计时器做准备。
control_systemd_battery_timer.sh：这是一个用于设置上述服务的脚本。主要是用于给 udev 触发使用。(在 rules 里面写这么多太不优雅了)
99-battery.rules：这就是 udev 触发的规则了。在插上电源的时候检测一次电池电量，大于 78 就 idle，小于就开始充电。同时开启计时器，每三分钟检测一次电池。如果拔掉电源，那么就停止计时器。

值得小心的是，需要把 service 设置成 enabled，这样当电量达到 78，同时插着电源并开启 idle 模式的时候重启电脑，才会保持这个电量，因为重启会重置限制充电的状态；同时也把 timer 设置成 enabled，这样在电池没到 78，同时冲着电的时候重启电脑，才能在到达 78 的时候检测到从而开启 idle 模式。

写了那么多，看起来还是有点臃肿的感觉！不过功能总算是实现了。

缓解 kde 的电量显示的 bug
#

我到手没几天，就发现 kde 报告的电池状态有 bug。当拔下充电器后，显示已连接充电器，但仍在放电。短暂插入充电器然后拔出，会有概率避免这个问题；睡眠再唤醒也能避免这个问题。

经过一系列的排查，发现问题出现在upower上，upower 报告了错误的电池状态。power_supply总共有三个对象：

AC
CROS_USBPD_CHARGER0
CROS_USBPD_CHARGER1

虽然在 sysfs 里面报告的online状态是正确的，来到upower就不对了。AC online的状态和充电器的状态是相反的。重启upower服务可以让状态正确，但是已经被powerdevil接收了，所以无济于事。我寻找了很多办法，最终在upower的 gitlab 上面的issue看到了解决方案：

覆写upower的 systemd 服务，把它访问 AC 的 sysfs 禁用：

### Editing /etc/systemd/system/upower.service.d/override.conf
### Anything between here and the comment below will become the contents of the drop-in file
 
[Service]
InaccessiblePaths=/sys/class/power_supply/AC /sys/devices/pci0000:00/0000:00:1f.0/PNP0C09:00/ACPI0003:00/power_supply/AC
 
### Edits below this comment will be discarded

虽然方法很暴力，但是它有效啊！

风扇控制
#

理论上，其他的 chromebook 可以直接通过 aur 安装fw-fanctrl来安装一个用 python 写的脚本来控制。

不过我这台 spin713 比较特殊，使用ectool来查看温度是这样的：

$ sudo ectool temps all
--sensor name -------- temperature -------- ratio (fan_off and fan_max) --
Temp1                 318 K (= 45 C)          66% (298 K and 328 K)
Temp2                 324 K (= 51 C)          86% (298 K and 328 K)
Temp3                 314 K (= 41 C)        N/A (fan_off=0 K, fan_max=0 K)

而lm-sensors的输出：

$ sensors |sed -n "/coretemp-/,/Temp3/p"

coretemp-isa-0000
Adapter: ISA adapter
Package id 0:  +76.0°C  (high = +100.0°C, crit = +100.0°C)
Core 0:        +59.0°C  (high = +100.0°C, crit = +100.0°C)
Core 1:        +76.0°C  (high = +100.0°C, crit = +100.0°C)
Core 2:        +57.0°C  (high = +100.0°C, crit = +100.0°C)
Core 3:        +61.0°C  (high = +100.0°C, crit = +100.0°C)

cros_ec-isa-0000
Adapter: ISA adapter
fan1:        1641 RPM
Temp1:        +42.9°C  
Temp2:        +43.9°C  
Temp3:        +39.9°C

可以发现，ectool 并没有读取到 cpu 的温度，而是其他部分的温度，这个温度会比 cpu 负载高的时候的温度低很多，当 cpu 温度降下来后，又会比 cpu 温度高。而fw-fanctrl默认是取ectool里面最高的温度，这就会导致风扇控制不灵敏，~~目前办法还在想…~~

已经找到解决办法了：安装旧版的fw-fanctrl。在 24 年 5 月之后，这个工具读取温度的数据源从lm-sensors切换到了ectool，原因是他们认为这样更加准确。但是我的本子 ectool 无法读取到 cpu 的温度，用着旧版就可以了。

小结..
#

Arch 确实不算是一个能让人省心的系统，但是折腾的过程还是回味无穷的，paru 和 aur 配合在一起的包管理也非常好用。另外折腾的东西，等到以后再补充吧。

Arch Linux on T.本秋的自留地

简单了解和手动使用 TPM

tpm 的相关属性 #

第一组：永久属性组 (PT -> Property) #

第二组：启动时状态 #

第三组：句柄资源 (HR -> Handle Resource) #

第四组：锁定相关配置 #

第五组：杂项 #

不同层级 #

初始化自己的 tpm 配置 #

开始使用 #

加密文字 #

验证签名 #

整活 #

polkit #

彩蛋 #

字形、字体以及我的配置

衬线，无衬线，等宽 #

衬线（Serif) #

无衬线（Sans-Serif） #

等宽（monospace） #

开源字体 #

系统字体调优 #

Arch #

Win #

点阵字体和矢量字体 #

参考 #