Activer le lecteur d'empreintes digitales (login + sudo) sur ThinkPad sous Ubuntu 24.04¶

Contexte¶

L'objectif : utiliser l'empreinte pour ouvrir/déverrouiller la session et pour les demandes de mot de passe (sudo, fenêtres de privilège polkit). Le lecteur d'empreintes ne déverrouille pas le disque chiffré (LUKS) au boot — cela n'intervient qu'après le démarrage, via PAM.

lsusb | grep -i -E 'finger|validity|synaptic|138a|06cb|27c6|goodix|egis'

Prérequis¶

• Ubuntu 24.04 (GNOME).
• Un lecteur 138a:0097 (vérifié avec lsusb).
• Accès sudo et une connexion Internet (téléchargement du firmware du capteur).
• Comprendre que l'empreinte sera « suffisante » dans PAM : le mot de passe reste un repli permanent.

Pourquoi pas le pilote « standard » ?¶

Ce capteur n'est pas géré par le libfprint natif d'Ubuntu (fprintd-list répond No devices available). Deux pilotes rétro-ingénierés existent :

Procédure (python-validity / open-fprintd)¶

Étape 1 : Ajouter le PPA et installer le pilote¶

sudo add-apt-repository -y ppa:ubuntuhandbook1/open-fprintd
sudo apt update
sudo apt install -y open-fprintd fprintd-clients python3-validity

L'installation télécharge automatiquement le firmware Lenovo adapté au capteur (6_07f_lenovo_mis_qm.xpfwext).

Étape 2 : Initialiser / appairer le capteur¶

Le service python3-validity gère l'appairage tout seul au démarrage. S'il échoue (capteur dans un état résiduel), forcer un cycle propre :

sudo systemctl stop python3-validity
# Reset "propre" via l'implémentation python-validity (le capteur va se ré-énumérer)
sudo python3 /usr/share/python-validity/playground/factory-reset.py
# Purger l'éventuel back-off d'échecs
sudo rm -f /usr/share/python-validity/backoff
# Attendre ~5 s que le capteur réapparaisse sur l'USB, puis relancer
sudo systemctl restart python3-validity

Vérifier que le service est actif et sans traceback fatal :

systemctl is-active python3-validity
sudo journalctl -u python3-validity -n 30 --no-pager | grep -viE '>cmd>|<cmd<'

lsusb | grep -i 138a

Étape 3 : Confirmer que le périphérique est vu¶

fprintd-list "$USER"

found 1 devices
Device at /net/reactivated/Fprint/Device/0
User <user> has no fingers enrolled for DBus driver.

Étape 4 : Enrôler un ou plusieurs doigts¶

C'est un capteur tactile (on pose/relève, on ne glisse pas). Répéter le contact ≈ 6–10 fois.

fprintd-enroll -f right-index-finger
fprintd-enroll -f left-index-finger   # optionnel : un second doigt

Attendu : plusieurs enroll-stage-passed puis enroll-completed. Vérifier :

fprintd-list "$USER"     # doit lister les doigts enrôlés

Noms de doigts valides : {left,right}-{thumb,index,middle,ring,little}-finger.

Étape 5 : Activer l'empreinte dans PAM (login, sudo, polkit)¶

# Sauvegarde de sécurité
sudo cp -a /etc/pam.d/common-auth /etc/pam.d/common-auth.bak-$(date +%F)
# Active le profil fprintd (empreinte "suffisante", mot de passe conservé)
sudo pam-auth-update --enable fprintd

Le /etc/pam.d/common-auth obtenu ressemble à :

auth [success=3 default=ignore] pam_fprintd.so max_tries=1 timeout=10
auth [success=2 default=ignore] pam_unix.so nullok try_first_pass
...

Étape 6 (souvent nécessaire) : autoriser sudo à demander l'empreinte¶

Si sudo est configuré en NOPASSWD, il n'authentifie pas du tout → aucune empreinte demandée. Vérifier :

sudo grep -nE 'NOPASSWD' /etc/sudoers /etc/sudoers.d/* 2>/dev/null

Pour que sudo demande l'empreinte (et gagner en sécurité), retirer la règle NOPASSWD en validant la syntaxe pour ne jamais casser sudo :

sudo cp -a /etc/sudoers /etc/sudoers.bak-$(date +%F)
sudo visudo    # commenter la ligne  «  user ALL=(ALL) NOPASSWD: ALL  »

visudo valide la syntaxe à l'enregistrement. On conserve la règle standard %sudo ALL=(ALL:ALL) ALL (l'utilisateur du groupe sudo garde l'accès, désormais authentifié).

Vérification¶

# Empreinte seule
fprintd-verify           # poser le doigt -> attendu : verify-match

# sudo : vider le cache puis tester
sudo -k && sudo true     # -> "Placez votre doigt sur le lecteur d'empreintes"

• Session GNOME : verrouiller (Super+L) puis poser le doigt → déverrouillage.
• Fenêtres polkit (mises à jour, montage disque…) : proposent aussi l'empreinte.

Problèmes fréquents et solutions¶

Retour en arrière¶

# Désactiver l'empreinte dans PAM
sudo pam-auth-update    # décocher "Fingerprint authentication"
# (ou restaurer /etc/pam.d/common-auth.bak-AAAA-MM-JJ)

# Revenir à sudo NOPASSWD : sudo visudo, décommenter la ligne
# (ou restaurer /etc/sudoers.bak-AAAA-MM-JJ)

# Désinstaller complètement le pilote
sudo apt remove --purge open-fprintd python3-validity fprintd-clients
sudo add-apt-repository -r ppa:ubuntuhandbook1/open-fprintd

Aide-mémoire¶

Glossaire¶

Match-on-Chip (MOC)

Capteur où la comparaison des empreintes se fait dans la puce ; les gabarits ne quittent pas le lecteur.

fprintd

Démon D-Bus standard de gestion des empreintes sous Linux. Ici remplacé par open-fprintd (même interface D-Bus).

python-validity / open-fprintd

Pilote rétro-ingénieré (userspace) pour les capteurs Synaptics « Prometheus » (138a:0090/0097/009d).

PAM

Pluggable Authentication Modules : la pile d'authentification de Linux (login, sudo, polkit…). pam_fprintd.so y ajoute l'empreinte.

polkit

Cadre d'autorisation pour les actions privilégiées des applications de bureau (montage, mises à jour…), qui passe aussi par PAM.

Ressources¶

• uunicorn/python-validity — pilote pour capteurs Prometheus.
• PPA ubuntuhandbook1/open-fprintd — paquets Ubuntu 24.04.
• Activer le lecteur d'empreintes sur ThinkPad (UbuntuHandbook) — tutoriel de référence.
• 3v1n0/libfprint (vfs0090) — alternative pour la famille 138a:0090.