Booster - initramfs rapide, sécurisé et moderne pour Linux

Booster rend le démarrage initial plus léger, plus rapide et plus fiable. Il construit des images initramfs compactes qui font passer votre système Linux du firmware au véritable système de fichiers racine avec un minimum de complications et une prise en charge robuste du démarrage chiffré.

Au lieu d'embarquer un vaste espace utilisateur initial générique, Booster découvre ce dont votre machine a réellement besoin et construit une image ciblée autour de cela. Le résultat est une image de démarrage épurée contenant les pilotes, les outils de déverrouillage, la prise en charge des systèmes de fichiers et les chemins de récupération dont votre hôte a besoin, sans transporter tout un attirail à chaque redémarrage.

Pourquoi Booster ?

Booster repose sur une promesse simple : le démarrage initial doit être rapide, clair, sécurisé et agréable à utiliser.

Points forts :

• Démarrez plus vite avec des images plus petites - générez rapidement des images épurées et gardez le démarrage initial concentré sur le travail dont votre système a réellement besoin.
• Rendez le chiffrement Linux sans effort - déverrouillez les racines LUKS à l'aide de phrases secrètes, de fichiers de clés, d'en-têtes détachés, de TPM2, de clés de sécurité FIDO2, de liaisons de style Clevis ou d'un déverrouillage SSH distant.
• Utilisez le matériel de sécurité moderne en toute confiance - prise en charge des jetons TPM2 et FIDO2 de systemd-cryptenroll, y compris la prise en charge native de FIDO2 via le chemin de plugin de Booster.
• Profitez d'invites calmes et coordonnées - les flux de jetons matériels, de code PIN et de phrases secrètes fonctionnent ensemble ; les chemins de déverrouillage réussis annulent les invites qui ne sont plus nécessaires.
• Obtenez un démarrage FIDO2 plus fluide - Booster peut pré-vérifier les clés FIDO2 connectées avant de demander un code PIN, ignorer silencieusement la mauvaise clé et revenir proprement en arrière lorsqu'un jeton est absent.
• Déverrouillez les systèmes où que vous les gériez - utilisez SSH pendant le démarrage initial pour les machines chiffrées sans écran, montées en rack ou difficiles d'accès.
• Évitez un espace utilisateur initial gonflé - la découverte spécifique à l'hôte inclut par défaut ce dont votre machine a besoin.
• Construisez des images de secours flexibles - le mode universel ajoute une couverture matérielle plus large pour les installations portables, les supports de récupération et le matériel changeant.
• Couvrez les dispositions de stockage réelles - gérez ext4, Btrfs, ZFS, LVM, mdraid, l'autodécouverte GPT, les périphériques de reprise après hibernation et les mappages LUKS multiples.
• Inspectez et déboguez en toute confiance - listez, lisez et décompressez les images avec les commandes intégrées avant de leur confier le démarrage.

Booster est particulièrement adapté aux ordinateurs portables chiffrés, aux stations de travail de développeurs, aux serveurs nécessitant une récupération à distance, aux systèmes Linux minimaux et aux configurations de démarrage qui doivent rester compréhensibles des années après leur configuration.

Tour des fonctionnalités

Un chiffrement qui semble intégré nativement

Booster traite le chiffrement de disque complet comme un flux de travail de premier ordre, et non comme un module complémentaire. Il peut déverrouiller les périphériques LUKS à partir des paramètres du noyau, de /etc/crypttab, de l'autodécouverte GPT, des références directes root= vers des conteneurs LUKS, des fichiers de clés, des en-têtes détachés et des jetons matériels.

Les styles de déverrouillage pris en charge incluent :

• Déverrouillage par phrase secrète simple avec une gestion soignée des invites.
• Mise en cache des phrases secrètes partagées pour les volumes chiffrés associés.
• Fichiers de clés intégrés dans l'initramfs ou stockés sur un périphérique séparé.
• En-têtes LUKS détachés intégrés dans l'image, lus depuis un périphérique bloc brut ou chargés depuis un système de fichiers séparé.
• Jetons TPM2 et FIDO2 de systemd-cryptenroll.
• Liaisons de style Clevis pour TPM2, Tang et d'autres politiques prises en charge.
• Déverrouillage distant par phrase secrète via SSH pour les systèmes auxquels vous ne pouvez pas accéder physiquement.

Des jetons matériels sans aspérités

L'orchestration des jetons de Booster est conçue pour rendre le démarrage chiffré soigné. Les jetons non interactifs peuvent s'exécuter en arrière-plan, les jetons basés sur un code PIN sont demandés dans un ordre déterministe, et l'invite de phrase secrète habituelle apparaît comme solution de repli au lieu de bloquer indéfiniment tout le démarrage.

Les améliorations récentes de FIDO2 rendent l'expérience plus fluide :

• La prise en charge native de FIDO2 peut être activée avec enable_fido2: true.
• Une entrée crypttab avec fido2-device= peut amener Booster à intégrer automatiquement le plugin FIDO2.
• Booster peut vérifier si une clé FIDO2 connectée possède réellement l'identifiant avant de demander son code PIN.
• Les indications de jeton manquant sont retardées afin que les déverrouillages rapides par TPM2, Clevis ou autre jeton puissent se terminer sans bruit inutile.
• La soumission d'un code PIN vide ignore un jeton et passe au chemin de déverrouillage suivant.

Des images réduites qui correspondent à votre machine

Par défaut, Booster construit une image spécifique à l'hôte. Il examine le système actuel, inclut les modules et les outils nécessaires pour le démarrer, et laisse de côté les éléments inutiles. Cela rend l'image plus facile à auditer, plus rapide à générer et plus rapide à exécuter pendant le démarrage.

Lorsque vous avez besoin d'une image plus large, --universal inclut un ensemble plus étendu de modules pour les scénarios de secours, les supports portables ou les systèmes dont le matériel peut changer.

Des dispositions de stockage réellement utilisées

Booster prend en charge les dispositions de démarrage pratiques du monde réel, notamment :

• Les partitions racine autodécouvrables via GPT.
• La racine sur LUKS, LVM, mdraid, Btrfs, ZFS, NVMe, USB, MMC et eMMC.
• Les sous-volumes Btrfs et les configurations Btrfs multi-périphériques.
• Les périphériques de reprise après hibernation.
• Les références de périphériques par UUID=, LABEL=, PARTUUID=, PARTLABEL=, HWPATH=, WWID= ou /dev/....
• Les mappages chiffrés multiples depuis la ligne de commande du noyau ou /etc/crypttab.

Une meilleure visibilité au démarrage initial

Lorsqu'un problème survient, Booster vous offre des moyens utiles de voir ce qui s'est passé. Utilisez booster.log=debug,console pour des journaux de démarrage détaillés, ajoutez busybox pour un shell d'urgence, ou activez la prise en charge réseau pour récupérer les journaux d'une machine qui ne démarre pas.

Booster inclut également des commandes d'inspection d'image afin que vous puissiez vérifier ce qui a été construit avant de redémarrer :

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

Installation

Arch Linux

Installez le paquet officiel :

pacman -S booster

Le paquet crée les images Booster dans /boot/ :

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

Void Linux

Installez Booster avec :

xbps-install -S booster

Puis régénérez l'initramfs pour un noyau déjà installé :

xbps-reconfigure -f linux

Alpine Linux

Installez Booster avec :

apk add booster