Booster – initramfs rapide, sécurisé et moderne pour Linux

Booster rend le démarrage précoce plus léger, plus rapide et plus fiable. Il construit des images initramfs compactes qui font passer votre système Linux du firmware au vrai système de fichiers racine avec un minimum d'effort et un solide support du démarrage chiffré.

Au lieu d'embarquer un vaste espace utilisateur précoce générique, Booster découvre ce dont votre machine a réellement besoin et construit une image ciblée autour de cela. Le résultat est une image de démarrage légère avec les pilotes, les outils de déverrouillage, le support des systèmes de fichiers et les chemins de récupération dont votre hôte a besoin, sans transporter tout l'arsenal à chaque redémarrage.

Pourquoi Booster ?

Booster repose sur une promesse simple : le démarrage précoce doit être rapide, clair, sûr et agréable à utiliser.

Points forts :

• Démarrez plus vite avec des images plus petites – générez des images légères rapidement et gardez le démarrage précoce concentré sur le travail dont votre système a réellement besoin.
• Rendez le Linux chiffré sans effort – déverrouillez les racines LUKS avec des phrases de passe, des fichiers de clés, des en-têtes détachés, TPM2, des clés de sécurité FIDO2, des liaisons de type Clevis ou un déverrouillage SSH à distance.
• Utilisez le matériel de sécurité moderne en confiance – prenez en charge les jetons TPM2 et FIDO2 de systemd-cryptenroll, y compris le support FIDO2 natif via le chemin de plugins de Booster.
• Profitez d'invites calmes et coordonnées – les flux avec jeton matériel, code PIN et phrase de passe fonctionnent ensemble ; les chemins de déverrouillage réussis annulent les invites devenues inutiles.
• Bénéficiez d'un démarrage FIDO2 plus fluide – Booster peut pré-vérifier les clés FIDO2 connectées avant de demander un code PIN, ignorer silencieusement la mauvaise clé et revenir proprement en arrière lorsqu'un jeton est manquant.
• Déverrouillez les systèmes où que vous les gériez – utilisez SSH pendant le démarrage précoce pour les machines chiffrées headless, montées en rack ou difficiles d'accès.
• Évitez un espace utilisateur précoce gonflé – la découverte spécifique à l'hôte inclut ce dont votre machine a besoin par défaut.
• Construisez des images de secours flexibles – le mode universel ajoute une couverture matérielle plus large pour les installations portables, les supports de récupération et le matériel changeant.
• Couvrez les configurations de stockage réelles – gérez ext4, Btrfs, ZFS, LVM, mdraid, l'auto-découverte GPT, les dispositifs de reprise d'hibernation et plusieurs mappings LUKS.
• Inspectez et débugguez en confiance – listez, lisez et décompactez les images avec des commandes intégrées avant de leur faire confiance pour démarrer.

Booster est un excellent choix pour les ordinateurs portables chiffrés, les postes de travail de développeurs, les serveurs avec besoins de récupération à distance, les systèmes Linux minimaux et les configurations de démarrage qui doivent rester compréhensibles des années après leur configuration.

Tour des fonctionnalités

Un chiffrement qui semble intégré

Booster traite le chiffrement complet du disque comme un flux de travail de première classe, et non comme une extension. Il peut déverrouiller des périphériques LUKS à partir des paramètres du noyau, de /etc/crypttab, de l'auto-découverte GPT, de références root= directes vers des conteneurs LUKS, de fichiers de clés, d'en-têtes détachés et de jetons adossés au matériel.

Les styles de déverrouillage pris en charge incluent :

• Déverrouillage par phrase de passe simple avec une gestion soignée des invites.
• Mise en cache de la phrase de passe partagée pour les volumes chiffrés associés.
• Fichiers de clés intégrés dans l'initramfs ou stockés sur un périphérique séparé.
• En-têtes LUKS détachés intégrés dans l'image, lus depuis un périphérique bloc brut ou chargés depuis un système de fichiers séparé.
• Jetons TPM2 et FIDO2 de systemd-cryptenroll.
• Liaisons de type Clevis pour TPM2, Tang et d'autres politiques prises en charge.
• Déverrouillage à distance par phrase de passe via SSH pour les systèmes physiquement inaccessibles.

Des jetons matériels sans aspérités

L'orchestration des jetons de Booster est conçue pour rendre le démarrage chiffré agréable. Les jetons non interactifs peuvent s'exécuter en arrière-plan, les jetons à code PIN sont invités dans un ordre déterministe, et l'invite de phrase de passe habituelle apparaît comme solution de repli au lieu de bloquer tout le démarrage indéfiniment.

Les améliorations récentes de FIDO2 rendent l'expérience plus fluide :

• Le support FIDO2 natif peut être activé avec enable_fido2: true.
• Une entrée crypttab avec fido2-device= peut amener Booster à inclure automatiquement le plugin FIDO2.
• Booster peut vérifier si une clé FIDO2 connectée possède réellement l'identifiant avant de demander son code PIN.
• Les indices de jeton manquant sont différés afin que les déverrouillages rapides par TPM2, Clevis ou d'autres jetons puissent aboutir sans bruit inutile.
• La soumission d'un code PIN vide ignore un jeton et passe au chemin de déverrouillage suivant.

Des images petites qui correspondent à votre machine

Par défaut, Booster construit une image spécifique à l'hôte. Il examine le système actuel, inclut les modules et outils nécessaires à son démarrage et laisse de côté les éléments superflus. Cela rend l'image plus facile à auditer, plus rapide à générer et plus rapide à exécuter au démarrage.

Lorsque vous avez besoin d'une image plus large, --universal inclut un ensemble plus étendu de modules pour les scénarios de secours, les supports portables ou les systèmes dont le matériel peut changer.

Des configurations de stockage réellement utilisées

Booster prend en charge les configurations de démarrage pratiques du monde réel, notamment :

• Partitions racine auto-découvrables par GPT.
• Racine sur LUKS, LVM, mdraid, Btrfs, ZFS, NVMe, USB, MMC et eMMC.
• Sous-volumes Btrfs et configurations Btrfs multi-périphériques.
• Dispositifs de reprise d'hibernation.
• Références de périphériques par UUID=, LABEL=, PARTUUID=, PARTLABEL=, HWPATH=, WWID= ou /dev/....
• Plusieurs mappings chiffrés depuis la ligne de commande du noyau ou /etc/crypttab.

Une meilleure visibilité au démarrage précoce

Quand quelque chose tourne mal, Booster vous offre des moyens utiles de voir ce qui s'est passé. Utilisez booster.log=debug,console pour des journaux de démarrage détaillés, ajoutez busybox pour un shell de secours, ou activez le support réseau pour récupérer les journaux d'une machine qui ne démarre pas.

Booster inclut également des commandes d'inspection d'image pour vérifier ce qui a été construit avant de redémarrer :

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

Installation

Arch Linux

Installez le paquet officiel :

pacman -S booster

Le paquet crée des images Booster dans /boot/ :

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

Void Linux

Installez Booster avec :

xbps-install -S booster

Régénérez ensuite l'initramfs pour un noyau déjà installé :

xbps-reconfigure -f linux

Alpine Linux

Installez Booster avec :

apk add booster

Lisez ensuite /usr/share/doc/booster/README.alpine pour les instructions de configuration du chargeur de démarrage spécifiques.

Compilation manuelle

Vous pouvez aussi construire une image directement :

booster build /boot/booster-linux.img

Pour une image plus portable avec un ensemble matériel plus large :

booster build --universal /boot/booster-linux.img

Après avoir créé l'image, pointez votre chargeur de démarrage dessus. Pour tous les détails de configuration, consultez la page de manuel de Booster.

Démarrage rapide

Créez une image spécifique à l'hôte :

booster build booster.img

Créez une image pour un noyau spécifique :

booster build --kernel-version 6.8.9-arch1-1 /boot/booster-linux.img

Inspectez l'image générée :

booster ls /boot/booster-linux.img

Régénérez les images empaquetées après avoir modifié /etc/booster.yaml :

/usr/lib/booster/regenerate_images

Générez une image de noyau unifiée lorsque votre distribution fournit systemd-ukify :

/usr/lib/booster/regenerate_uki build /boot/EFI/Linux

Exemple de configuration

Booster est volontairement simple à configurer. Un ordinateur portable chiffré simple n'a souvent besoin d'aucun fichier de configuration volumineux. N'ajoutez que les fonctionnalités dont votre chemin de démarrage a besoin :

compression: zstd
vconsole: true
enable_fido2: true
enable_lvm: true
enable_mdraid: true

Pour le déverrouillage à distance via SSH :

network:
  dhcp: on
  ssh_host_key: /etc/booster/ssh_host_ed25519_key
  ssh_authorized_keys: /etc/booster/authorized_keys
  ssh_listen: :22

Pour un ordonnancement plus fluide des jetons lorsque plusieurs méthodes de déverrouillage matériel sont enregistrées :

serialize_tokens:
  enabled: true
  clevis_timeout: 45s
  tpm2_timeout: 15s
  fido2_timeout: 30s

Pour le support de l'écran de démarrage Plymouth :

enable_plymouth: true
modules_force_load: amdgpu

Utilisez quiet splash dans votre ligne de commande du noyau et évitez booster.log=console lorsque vous voulez l'écran graphique.

Documentation

La documentation utilisateur complète se trouve dans la page de manuel de Booster. Elle couvre :

• Les options de /etc/booster.yaml.
• Les paramètres de la ligne de commande du noyau.
• La configuration de LUKS, FIDO2, TPM2, Clevis, des fichiers de clés et des en-têtes détachés.
• L'intégration de /etc/crypttab.
• Le déverrouillage à distance via SSH.
• L'auto-découverte de la racine GPT.
• La génération d'images de noyau unifiées.
• Le débogage et la récupération.

Projets similaires

Booster évolue dans le même espace problématique que mkinitcpio et dracut. Son objectif est un générateur d'initramfs rapide, compact et basé sur Go, avec une ergonomie solide pour le démarrage chiffré et la découverte automatique de l'hôte.

Compilation à partir des sources

Le projet comporte trois parties principales :

• init – le programme de l'espace utilisateur précoce qui s'exécute au démarrage.
• generator – l'outil qui construit l'image initramfs.
• tests – les tests d'intégration basés sur QEMU pour les images générées.

Compilez avec l'outillage Go standard :

go build ./...

Exécutez les tests unitaires :

go test ./generator ./init

Exécutez la suite de tests complète :

go test ./...

Le paquet ./tests contient des tests d'intégration QEMU et nécessite que l'hôte dispose de l'outillage de démarrage et de virtualisation requis.

Crédits

Le travail sur ce projet a commencé pendant la semaine de hack de Twitter. Un immense merci à Twitter pour son soutien au développement open source, et un merci spécial à Ian Brown.

L'architecture de Booster a été inspirée par distri de Michael Stapelberg, et la version initiale a emprunté de nombreuses idées au générateur d'initramfs de distri.

Licence

Voir LICENSE.