Booster: initramfs rápido, seguro y moderno para Linux

Booster hace que el arranque temprano se sienta más ligero, rápido y fiable. Crea imágenes initramfs compactas que llevan tu sistema Linux desde el firmware hasta el sistema de archivos raíz real con mínimas complicaciones y un sólido soporte de arranque cifrado.

En lugar de empaquetar un gran espacio de usuario temprano genérico, Booster descubre lo que tu máquina realmente necesita y crea una imagen centrada en ello. El resultado es una imagen de arranque ligera con los controladores, las herramientas de desbloqueo, el soporte de sistemas de archivos y las rutas de recuperación que tu host necesita, sin cargar con todo lo superfluo en cada reinicio.

¿Por qué Booster?

Booster se construye sobre una promesa simple: el arranque temprano debe ser rápido, claro, seguro y agradable de operar.

Aspectos destacados:

• Arranca más rápido con imágenes más pequeñas - genera imágenes ligeras rápidamente y mantén el arranque temprano centrado en el trabajo que tu sistema realmente necesita.
• Haz que el Linux cifrado se sienta sin esfuerzo - desbloquea raíces LUKS mediante frases de contraseña, archivos de clave, cabeceras separadas, TPM2, llaves de seguridad FIDO2, enlaces estilo Clevis o desbloqueo remoto por SSH.
• Usa hardware de seguridad moderno con confianza - soporta tokens TPM2 y FIDO2 de systemd-cryptenroll, incluido el soporte nativo de FIDO2 a través de la ruta de plugins de Booster.
• Disfruta de solicitudes coordinadas y tranquilas - los flujos de token de hardware, PIN y frase de contraseña funcionan juntos; las rutas de desbloqueo exitosas cancelan las solicitudes que ya no son necesarias.
• Obtén un arranque FIDO2 más fluido - Booster puede comprobar de antemano si las llaves FIDO2 conectadas realmente tienen la credencial antes de pedir un PIN, omitir silenciosamente la llave incorrecta y retroceder limpiamente cuando falta un token.
• Desbloquea sistemas desde donde los administres - usa SSH durante el arranque temprano para máquinas cifradas sin cabeza, montadas en rack o de difícil acceso.
• Evita un espacio de usuario temprano hinchado - la detección específica del host incluye por defecto lo que tu máquina necesita.
• Crea imágenes de rescate flexibles - el modo universal añade una cobertura de hardware más amplia para instalaciones portátiles, medios de recuperación y hardware cambiante.
• Cubre diseños de almacenamiento reales - maneja ext4, Btrfs, ZFS, LVM, mdraid, autodetección GPT, dispositivos de reanudación de hibernación y múltiples mapeos LUKS.
• Inspecciona y depura con confianza - lista, lee y desempaqueta imágenes con comandos integrados antes de confiar en ellas para arrancar.

Booster es ideal para portátiles cifrados, estaciones de trabajo de desarrollo, servidores con necesidades de recuperación remota, sistemas Linux mínimos y configuraciones de arranque que deberían seguir siendo comprensibles años después de configurarlas.

Recorrido de funciones

Cifrado que se siente integrado

Booster trata el cifrado de disco completo como un flujo de trabajo de primera clase, no como un complemento. Puede desbloquear dispositivos LUKS desde parámetros del kernel, /etc/crypttab, autodetección GPT, referencias directas root= a contenedores LUKS, archivos de clave, cabeceras separadas y tokens respaldados por hardware.

Los estilos de desbloqueo admitidos incluyen:

• Desbloqueo por frase de contraseña simple con gestión cuidadosa de las solicitudes.
• Almacenamiento en caché compartido de frases de contraseña para volúmenes cifrados relacionados.
• Archivos de clave incrustados en el initramfs o almacenados en un dispositivo separado.
• Cabeceras LUKS separadas incrustadas en la imagen, leídas desde un dispositivo de bloque en bruto o cargadas desde un sistema de archivos separado.
• Tokens TPM2 y FIDO2 de systemd-cryptenroll.
• Enlaces estilo Clevis para TPM2, Tang y otras políticas compatibles.
• Desbloqueo remoto por frase de contraseña basado en SSH para sistemas a los que no puedes acceder físicamente.

Tokens de hardware sin asperezas

La orquestación de tokens de Booster está diseñada para que el arranque cifrado se sienta pulido. Los tokens no interactivos pueden ejecutarse en segundo plano, los tokens basados en PIN se solicitan en un orden determinista y la solicitud normal de frase de contraseña aparece como respaldo en lugar de bloquear todo el arranque para siempre.

Las mejoras recientes de FIDO2 hacen que la experiencia sea más fluida:

• El soporte nativo de FIDO2 se puede habilitar con enable_fido2: true.
• Una entrada de crypttab con fido2-device= puede hacer que Booster incluya el plugin de FIDO2 automáticamente.
• Booster puede comprobar si una llave FIDO2 conectada realmente tiene la credencial antes de pedir su PIN.
• Los avisos de token ausente se retrasan para que los desbloqueos rápidos por TPM2, Clevis u otros tokens puedan completarse sin ruido innecesario.
• El envío de un PIN vacío omite un token y continúa con la siguiente ruta de desbloqueo.

Imágenes pequeñas que se ajustan a tu máquina

Por defecto, Booster crea una imagen específica del host. Examina el sistema actual, incluye los módulos y herramientas necesarios para arrancarlo y deja fuera las piezas innecesarias. Eso hace que la imagen sea más fácil de auditar, más rápida de generar y más rápida de ejecutar durante el arranque.

Cuando necesitas una imagen más amplia, --universal incluye un conjunto más amplio de módulos para escenarios de rescate, medios portátiles o sistemas donde el hardware puede cambiar.

Diseños de almacenamiento que los usuarios usan realmente

Booster admite diseños de arranque prácticos del mundo real, incluyendo:

• Particiones raíz autodetectables por GPT.
• Raíz en LUKS, LVM, mdraid, Btrfs, ZFS, NVMe, USB, MMC y eMMC.
• Subvolúmenes Btrfs y configuraciones Btrfs de múltiples dispositivos.
• Dispositivos de reanudación de hibernación.
• Referencias a dispositivos mediante UUID=, LABEL=, PARTUUID=, PARTLABEL=, HWPATH=, WWID= o /dev/....
• Múltiples mapeos cifrados desde la línea de comandos del kernel o /etc/crypttab.

Mejor visibilidad en el arranque temprano

Cuando algo sale mal, Booster te ofrece formas útiles de ver lo que ha pasado. Usa booster.log=debug,console para obtener registros de arranque detallados, añade busybox para un shell de emergencia o habilita el soporte de red para recuperar registros desde una máquina que no arranca.

Booster también incluye comandos de inspección de imágenes para que puedas verificar lo que se ha creado antes de reiniciar:

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

Instalación

Arch Linux

Instala el paquete oficial:

pacman -S booster

El paquete crea imágenes de Booster en /boot/:

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

Void Linux

Instala Booster con:

xbps-install -S booster

A continuación, regenera el initramfs para un kernel ya instalado:

xbps-reconfigure -f linux

Alpine Linux

Instala Booster con:

apk add booster

Luego lee /usr/share/doc/booster/README.alpine para obtener instrucciones específicas del gestor de arranque.

Compilación manual

También puedes crear una imagen directamente:

booster build /boot/booster-linux.img

Para una imagen más portátil con un conjunto de hardware más amplio:

booster build --universal /boot/booster-linux.img

Después de crear la imagen, apunta tu gestor de arranque hacia ella. Para conocer todos los detalles de configuración, consulta la página man de Booster.

Inicio rápido

Crea una imagen específica del host:

booster build booster.img

Crea una imagen para un kernel específico:

booster build --kernel-version 6.8.9-arch1-1 /boot/booster-linux.img

Inspecciona la imagen generada:

booster ls /boot/booster-linux.img

Regenera las imágenes empaquetadas después de cambiar /etc/booster.yaml:

/usr/lib/booster/regenerate_images

Genera una Unified Kernel Image cuando tu distribución proporcione systemd-ukify:

/usr/lib/booster/regenerate_uki build /boot/EFI/Linux

Ejemplo de configuración

Booster es intencionadamente sencillo de configurar. Un portátil cifrado simple a menudo no necesita ningún archivo de configuración grande. Añade solo las funciones que tu ruta de arranque necesita:

compression: zstd
vconsole: true
enable_fido2: true
enable_lvm: true
enable_mdraid: true

Para desbloqueo remoto por SSH:

network:
  dhcp: on
  ssh_host_key: /etc/booster/ssh_host_ed25519_key
  ssh_authorized_keys: /etc/booster/authorized_keys
  ssh_listen: :22

Para un orden de tokens más fluido cuando hay varios métodos de desbloqueo por hardware registrados:

serialize_tokens:
  enabled: true
  clevis_timeout: 45s
  tpm2_timeout: 15s
  fido2_timeout: 30s

Para soporte de pantalla de bienvenida de Plymouth:

enable_plymouth: true
modules_force_load: amdgpu

Usa quiet splash en tu línea de comandos del kernel y evita booster.log=console cuando quieras la pantalla de bienvenida gráfica.

Documentación

La documentación completa de usuario está en la página man de Booster. Cubre:

• Las opciones de /etc/booster.yaml.
• Los parámetros de la línea de comandos del kernel.
• La configuración de LUKS, FIDO2, TPM2, Clevis, archivos de clave y cabeceras separadas.
• La integración con /etc/crypttab.
• El desbloqueo remoto por SSH.
• La autodetección de la raíz GPT.
• La generación de Unified Kernel Image.
• Depuración y recuperación.

Proyectos similares

Booster se mueve en el mismo espacio de problemas que mkinitcpio y dracut. Su enfoque es un generador de initramfs rápido, compacto y basado en Go, con una ergonomía sólida para el arranque cifrado y detección automática del host.

Compilar desde el código fuente

El proyecto tiene tres partes principales:

• init - el programa de espacio de usuario temprano que se ejecuta durante el arranque.
• generator - la herramienta que crea la imagen initramfs.
• tests - pruebas de integración basadas en QEMU para las imágenes generadas.

Compila con las herramientas estándar de Go:

go build ./...

Ejecuta las pruebas unitarias:

go test ./generator ./init

Ejecuta la suite de pruebas completa:

go test ./...

El paquete ./tests contiene pruebas de integración con QEMU y requiere que el host tenga instaladas las herramientas de arranque y virtualización necesarias.

Créditos

El trabajo en este proyecto comenzó durante la hack week de Twitter. Muchas gracias a Twitter por apoyar el desarrollo de código abierto, y un agradecimiento especial a Ian Brown.

La arquitectura de Booster se inspiró en distri de Michael Stapelberg, y la versión inicial tomó prestadas muchas ideas del generador de initramfs de distri.

Licencia

Consulta LICENSE.