Booster - schnelles, sicheres, modernes initramfs für Linux

Booster macht den frühen Bootvorgang leichter, schneller und zuverlässiger. Es erstellt kompakte initramfs-Images, die dein Linux-System mit minimalem Aufwand und starker Unterstützung für verschlüsseltes Booten von der Firmware zum echten Root-Dateisystem bringen.

Anstatt einen großen generischen frühen Userspace zu packen, ermittelt Booster, was deine Maschine tatsächlich benötigt, und baut ein darauf zugeschnittenes Image. Das Ergebnis ist ein schlankes Boot-Image mit den Treibern, Entsperrwerkzeugen, Dateisystem-Unterstützung und Wiederherstellungspfaden, die dein Host benötigt, ohne bei jedem Neustart unnötigen Ballast mitzuschleppen.

Warum Booster?

Booster basiert auf einem einfachen Versprechen: Der frühe Bootvorgang sollte schnell, klar, sicher und angenehm zu bedienen sein.

Highlights:

• Schneller booten mit kleineren Images - erstelle schlanke Images schnell und halte den frühen Bootvorgang auf die Arbeit fokussiert, die dein System tatsächlich benötigt.
• Verschlüsseltes Linux mühelos machen - entsperre LUKS-Roots mit Passphrasen, Keyfiles, detached Headers, TPM2, FIDO2-Sicherheitsschlüsseln, Clevis-artigen Bindings oder Remote-SSH-Entsperrung.
• Moderne Sicherheitshardware souverän nutzen - unterstütze systemd-cryptenroll TPM2- und FIDO2-Token, einschließlich nativer FIDO2-Unterstützung über Boosters Plugin-Pfad.
• Ruhige, koordinierte Abfragen genießen - Hardware-Token-, PIN- und Passphrasen-Abläufe arbeiten zusammen; erfolgreiche Entsperrpfade brechen nicht mehr benötigte Abfragen ab.
• Einen reibungsloseren FIDO2-Boot erhalten - Booster kann angeschlossene FIDO2-Schlüssel vorab prüfen, bevor nach einer PIN gefragt wird, den falschen Schlüssel still überspringen und sauber zurückfallen, wenn ein Token fehlt.
• Systeme von überall entsperren, wo du sie verwaltest - nutze SSH während des frühen Bootvorgangs für headless, rackmontierte oder schwer erreichbare verschlüsselte Maschinen.
• Aufgeblähten frühen Userspace vermeiden - hostspezifische Erkennung enthält standardmäßig, was deine Maschine benötigt.
• Flexible Rettungs-Images erstellen - der Universal-Modus fügt breitere Hardware-Abdeckung für portable Installationen, Wiederherstellungsmedien und wechselnde Hardware hinzu.
• Reale Speicher-Layouts abdecken - unterstütze ext4, Btrfs, ZFS, LVM, mdraid, GPT-Autoerkennung, Hibernation-Resume-Geräte und mehrere LUKS-Mappings.
• Mit Zuversicht inspizieren und debuggen - liste, lies und entpacke Images mit integrierten Befehlen, bevor du ihnen das Booten anvertraust.

Booster eignet sich hervorragend für verschlüsselte Laptops, Entwickler-Workstations, Server mit Remote-Wiederherstellungsanforderungen, minimale Linux-Systeme und Boot-Setups, die auch Jahre nach der Konfiguration verständlich bleiben sollen.

Funktionsübersicht

Verschlüsselung, die sich integriert anfühlt

Booster behandelt Full-Disk-Encryption als erstklassigen Workflow, nicht als Zusatz. Es kann LUKS-Geräte aus Kernel-Parametern, /etc/crypttab, GPT-Autoerkennung, direkten root=-Referenzen auf LUKS-Container, Keyfiles, detached Headers und hardwaregestützten Token entsperren.

Unterstützte Entsperrarten umfassen:

• Einfache Passphrasen-Entsperrung mit sorgfältiger Abfragebehandlung.
• Gemeinsames Passphrasen-Caching für zusammengehörige verschlüsselte Volumes.
• Keyfiles, die im initramfs eingebettet oder auf einem separaten Gerät gespeichert sind.
• Detached LUKS-Header, die im Image eingebettet, von einem Raw-Blockgerät gelesen oder von einem separaten Dateisystem geladen werden.
• systemd-cryptenroll TPM2- und FIDO2-Token.
• Clevis-artige Bindings für TPM2, Tang und andere unterstützte Richtlinien.
• SSH-basierte Remote-Passphrasen-Entsperrung für Systeme, die du physisch nicht erreichen kannst.

Hardware-Token ohne raue Kanten

Boosters Token-Orchestrierung ist darauf ausgelegt, verschlüsseltes Booten poliert wirken zu lassen. Nicht-interaktive Token können im Hintergrund konkurrieren, PIN-basierte Token werden in deterministischer Reihenfolge abgefragt, und die reguläre Passphrasen-Abfrage erscheint als Fallback, anstatt den gesamten Bootvorgang für immer zu blockieren.

Aktuelle FIDO2-Verbesserungen machen die Erfahrung reibungsloser:

• Native FIDO2-Unterstützung kann mit enable_fido2: true aktiviert werden.
• Ein crypttab-Eintrag mit fido2-device= kann Booster dazu veranlassen, das FIDO2-Plugin automatisch zu bündeln.
• Booster kann prüfen, ob ein angeschlossener FIDO2-Schlüssel tatsächlich die Credential besitzt, bevor nach seiner PIN gefragt wird.
• Hinweise auf fehlende Token werden verzögert, damit schnelle TPM2-, Clevis- oder andere Token-Entsperrungen ohne unnötigen Lärm abgeschlossen werden können.
• Leere PIN-Eingabe überspringt ein Token und fährt mit dem nächsten Entsperrpfad fort.

Kleine Images, die zu deiner Maschine passen

Standardmäßig erstellt Booster ein hostspezifisches Image. Es betrachtet das aktuelle System, enthält die zum Booten benötigten Module und Werkzeuge und lässt unnötige Teile weg. Das macht das Image leichter auditierbar, schneller zu erstellen und schneller während des Bootvorgangs auszuführen.

Wenn du ein breiteres Image benötigst, enthält --universal einen größeren Satz von Modulen für Rettungsszenarien, portable Medien oder Systeme, bei denen sich die Hardware ändern kann.

Speicher-Layouts, die Nutzer tatsächlich betreiben

Booster unterstützt praktische reale Boot-Layouts, einschließlich:

• GPT-autoerkennbare Root-Partitionen.
• Root auf LUKS, LVM, mdraid, Btrfs, ZFS, NVMe, USB, MMC und eMMC.
• Btrfs-Subvolumes und Multi-Device-Btrfs-Setups.
• Hibernation-Resume-Geräte.
• Gerätereferenzen über UUID=, LABEL=, PARTUUID=, PARTLABEL=, HWPATH=, WWID= oder /dev/....
• Mehrere verschlüsselte Mappings von der Kernel-Kommandozeile oder aus /etc/crypttab.

Bessere Sichtbarkeit beim frühen Bootvorgang

Wenn etwas schiefgeht, bietet Booster nützliche Möglichkeiten zu sehen, was passiert ist. Verwende booster.log=debug,console für detaillierte Boot-Logs, füge busybox für eine Notfall-Shell hinzu oder aktiviere Netzwerkunterstützung, um Logs von einer nicht bootfähigen Maschine abzurufen.

Booster enthält außerdem Befehle zur Image-Inspektion, damit du überprüfen kannst, was erstellt wurde, bevor du neu startest:

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

Installation

Arch Linux

Installiere das offizielle Paket:

pacman -S booster

Das Paket erstellt Booster-Images in /boot/:

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

Void Linux

Installiere Booster mit:

xbps-install -S booster

Generiere dann das initramfs für einen bereits installierten Kernel neu:

xbps-reconfigure -f linux

Alpine Linux

Installiere Booster mit:

apk add booster

Lies dann /usr/share/doc/booster/README.alpine für setupspezifische Bootloader-Anweisungen.

Fedora

Booster ist nicht in Fedoras Repositories enthalten. Baue das RPM aus einem Checkout:

dnf install rpm-build golang gcc git-core libfido2-devel rubygem-ronn-ng systemd-rpm-macros
./packaging/fedora/createpkg.sh
dnf install ~/rpmbuild/RPMS/x86_64/booster-*.rpm

Wähle dann Booster als Generator in /etc/kernel/install.conf, damit Images bei Kernel-Updates neu erstellt werden:

initrd_generator=booster

Manueller Build

Du kannst auch direkt ein Image erstellen:

booster build /boot/booster-linux.img

Für ein portableres Image mit breiterem Hardware-Satz: