So simpel, so einfach, so gut.

Anleitungen gibt es hier:
http://linuxconfig.org/linux-authentication-login-with-usb-device
http://wiki.ubuntuusers.de/Authentifizierung_mit_USB-Stick

Kurzversion:

$ sudo apt-get install pamusb-tools libpam-usb pmount

$ sudo pamusb-conf --add-device my-usb-stick

$ sudo pamusb-conf --add-user ubuntu-user

$ pamusb-check benutzer

Ich habe für die Daten noch eine extra Partition (versteckte FAT32) angelegt, damit man nicht aus Versehen den Schlüssel kaputt macht.

Steckt der Schlüssel, kann sudo ohne Eingabe des Passworts ausgeführt werden. Das ist schon einmal ganz praktisch.

Nun noch die Anpassungen für den pamusb-agent, wie weiter unten im UbuntuUsers-Wiki beschrieben und ein Ziehen des Schlüssels sperrt den Bildschirm und ein Stecken entsperrt ihn wieder. Noch praktischer!