बूस्टर - तेज़, सुरक्षित, आधुनिक initramfs Linux के लिए

बूस्टर शुरुआती बूट को हल्का, तेज़ और अधिक भरोसेमंद बनाता है। यह कॉम्पैक्ट initramfs इमेज बनाता है जो आपके Linux सिस्टम को फर्मवेयर से वास्तविक रूट फाइलसिस्टम तक न्यूनतम झंझट और मजबूत एन्क्रिप्टेड-बूट समर्थन के साथ ले जाती है।

एक बड़ा सामान्य प्रारंभिक यूज़रस्पेस पैक करने के बजाय, बूस्टर पता लगाता है कि आपकी मशीन को वास्तव में क्या चाहिए और उसके चारों ओर एक केंद्रित इमेज बनाता है। परिणाम एक पतली बूट इमेज है जिसमें ड्राइवर, अनलॉक टूल, फाइलसिस्टम समर्थन और रिकवरी पथ शामिल हैं जिनकी आपके होस्ट को आवश्यकता है, बिना हर रीबूट में एक किचन सिंक ले जाए।

बूस्टर क्यों?

बूस्टर एक सरल वादे पर बनाया गया है: प्रारंभिक बूट तेज़, स्पष्ट, सुरक्षित और संचालित करने में सुखद होना चाहिए।

मुख्य विशेषताएं:

• छोटी इमेज के साथ तेज़ बूट - पतली इमेज जल्दी बनाएं और शुरुआती बूट को केवल उस कार्य पर केंद्रित रखें जो आपके सिस्टम को वास्तव में चाहिए।
• एन्क्रिप्टेड Linux को सहज बनाएं - पासफ़्रेज़, कीफ़ाइल, डिटैच्ड हेडर, TPM2, FIDO2 सुरक्षा कुंजी, Clevis-शैली बाइंडिंग, या रिमोट SSH अनलॉक का उपयोग करके LUKS रूट को अनलॉक करें।
• आधुनिक सुरक्षा हार्डवेयर का आत्मविश्वास से उपयोग करें - systemd-cryptenroll TPM2 और FIDO2 टोकन को समर्थन दें, जिसमें बूस्टर के प्लगइन पथ के माध्यम से मूल FIDO2 समर्थन शामिल है।
• शांत, समन्वित संकेत का आनंद लें - हार्डवेयर-टोकन, PIN और पासफ़्रेज़ प्रवाह एक साथ काम करते हैं; सफल अनलॉक पथ उन संकेतों को रद्द कर देते हैं जिनकी अब आवश्यकता नहीं है।
• एक आसान FIDO2 बूट प्राप्त करें - बूस्टर PIN मांगने से पहले कनेक्टेड FIDO2 कुंजी की प्री-चेक कर सकता है, गलत कुंजी को चुपचाप छोड़ सकता है, और टोकन गायब होने पर साफ तरीके से फ़ॉलबैक कर सकता है।
• सिस्टम को जहाँ से भी प्रबंधित करें, अनलॉक करें - हेडलेस, रैक-माउंटेड या हार्ड-टू-रीच एन्क्रिप्टेड मशीनों के लिए प्रारंभिक बूट के दौरान SSH का उपयोग करें।
• ब्लोटेड प्रारंभिक यूज़रस्पेस से बचें - होस्ट-विशिष्ट डिस्कवरी में डिफ़ॉल्ट रूप से आपकी मशीन को जो चाहिए वह शामिल होता है।
• लचीली रेस्क्यू इमेज बनाएं - यूनिवर्सल मोड पोर्टेबल इंस्टॉल, रिकवरी मीडिया और बदलते हार्डवेयर के लिए व्यापक हार्डवेयर कवरेज जोड़ता है।
• वास्तविक स्टोरेज लेआउट को कवर करें - ext4, Btrfs, ZFS, LVM, mdraid, GPT ऑटोडिस्कवरी, हाइबरनेशन रिज़्यूम डिवाइस और कई LUKS मैपिंग को संभालें।
• आत्मविश्वास के साथ निरीक्षण और डीबग करें - बिल्ट-इन कमांड से इमेज को सूचीबद्ध करें, पढ़ें और अनपैक करें, इससे पहले कि आप उन्हें बूट करने पर भरोसा करें।

बूस्टर एन्क्रिप्टेड लैपटॉप, डेवलपर वर्कस्टेशन, रिमोट रिकवरी जरूरतों वाले सर्वर, न्यूनतम Linux सिस्टम और ऐसे बूट सेटअप के लिए एक मजबूत विकल्प है जो सालों बाद कॉन्फ़िगर करने के बाद भी समझने योग्य रहना चाहिए।

सुविधा दौरा

एन्क्रिप्शन जो निर्मित महसूस होता है

बूस्टर फुल-डिस्क एन्क्रिप्शन को एक प्रथम श्रेणी के वर्कफ़्लो के रूप में मानता है, न कि ऐड-ऑन के रूप में। यह कर्नेल पैरामीटर, /etc/crypttab, GPT ऑटोडिस्कवरी, LUKS कंटेनरों के सीधे root= संदर्भ, कीफ़ाइल, डिटैच्ड हेडर और हार्डवेयर-समर्थित टोकन से LUKS डिवाइस अनलॉक कर सकता है।

समर्थित अनलॉक शैलियों में शामिल हैं:

• सावधानीपूर्वक संकेत प्रबंधन के साथ सादा पासफ़्रेज़ अनलॉक।
• संबंधित एन्क्रिप्टेड वॉल्यूम के लिए साझा पासफ़्रेज़ कैशिंग।
• initramfs में एम्बेडेड या एक अलग डिवाइस पर संग्रहीत कीफ़ाइल।
• इमेज में एम्बेडेड, कच्चे ब्लॉक डिवाइस से पढ़े गए, या किसी अलग फाइलसिस्टम से लोड किए गए डिटैच्ड LUKS हेडर।
• systemd-cryptenroll TPM2 और FIDO2 टोकन।
• Clevis-शैली बाइंडिंग TPM2, Tang और अन्य समर्थित नीतियों के लिए।
• SSH-आधारित रिमोट पासफ़्रेज़ अनलॉक उन सिस्टमों के लिए जिन्हें आप शारीरिक रूप से नहीं छू सकते।

हार्डवेयर टोकन बिना खुरदरे किनारों के

बूस्टर का टोकन ऑर्केस्ट्रेशन इस तरह डिज़ाइन किया गया है कि एन्क्रिप्टेड बूट पॉलिश लगे। गैर-इंटरैक्टिव टोकन पृष्ठभूमि में दौड़ सकते हैं, PIN-आधारित टोकन को एक निर्धारित क्रम में संकेत दिया जाता है, और नियमित पासफ़्रेज़ प्रॉम्प्ट एक फ़ॉलबैक के रूप में प्रकट होता है, न कि पूरे बूट को हमेशा के लिए अवरुद्ध करने के लिए।

हाल के FIDO2 सुधार अनुभव को और अधिक सहज बनाते हैं:

• मूल FIDO2 समर्थन को enable_fido2: true से सक्षम किया जा सकता है।
• fido2-device= के साथ एक crypttab प्रविष्टि बूस्टर को FIDO2 प्लगइन को स्वचालित रूप से बंडल करने का कारण बना सकती है।
• बूस्टर जांच सकता है कि कनेक्टेड FIDO2 कुंजी में वास्तव में क्रेडेंशियल है या नहीं, इससे पहले कि वह उसकी PIN मांगे।
• मिसिंग-टोकन संकेत में देरी की जाती है ताकि तेज़ TPM2, Clevis या अन्य टोकन अनलॉक अनावश्यक शोर के बिना पूरे हो सकें।
• खाली PIN सबमिशन एक टोकन को छोड़ देता है और अगले अनलॉक पथ पर जारी रहता है।

छोटी इमेज जो आपकी मशीन से मेल खाती हैं

डिफ़ॉल्ट रूप से, बूस्टर एक होस्ट-विशिष्ट इमेज बनाता है। यह वर्तमान सिस्टम को देखता है, इसे बूट करने के लिए आवश्यक मॉड्यूल और टूल शामिल करता है, और अनावश्यक भागों को छोड़ देता है। इससे इमेज का ऑडिट करना आसान हो जाता है, जनरेट करना तेज़ हो जाता है, और बूट के दौरान निष्पादित करना तेज़ हो जाता है।

जब आपको एक व्यापक इमेज की आवश्यकता होती है, तो --universal में रेस्क्यू परिदृश्यों, पोर्टेबल मीडिया या ऐसे सिस्टमों के लिए मॉड्यूल का एक व्यापक सेट शामिल होता है जहां हार्डवेयर बदल सकता है।

स्टोरेज लेआउट जो उपयोगकर्ता वास्तव में चलाते हैं

बूस्टर व्यावहारिक वास्तविक दुनिया के बूट लेआउट का समर्थन करता है, जिसमें शामिल हैं:

• GPT ऑटोडिस्कवरेबल रूट पार्टीशन।
• LUKS, LVM, mdraid, Btrfs, ZFS, NVMe, USB, MMC और eMMC पर रूट।
• Btrfs सबवॉल्यूम और मल्टी-डिवाइस Btrfs सेटअप।
• हाइबरनेशन रिज़्यूम डिवाइस।
• UUID=, LABEL=, PARTUUID=, PARTLABEL=, HWPATH=, WWID=, या /dev/... द्वारा डिवाइस संदर्भ।
• कर्नेल कमांड लाइन या /etc/crypttab से कई एन्क्रिप्टेड मैपिंग।

बेहतर प्रारंभिक-बूट दृश्यता

जब कुछ गलत होता है, तो बूस्टर आपको यह देखने के लिए उपयोगी तरीके देता है कि क्या हुआ। विस्तृत बूट लॉग के लिए booster.log=debug,console का उपयोग करें, आपातकालीन शेल के लिए busybox जोड़ें, या बूट न करने योग्य मशीन से लॉग पुनर्प्राप्त करने के लिए नेटवर्क समर्थन सक्षम करें।

बूस्टर में इमेज-निरीक्षण कमांड भी शामिल हैं ताकि आप रीबूट करने से पहले सत्यापित कर सकें कि क्या बनाया गया था:

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

स्थापित करें

आर्क Linux

आधिकारिक पैकेज स्थापित करें:

pacman -S booster

पैकेज /boot/ में बूस्टर इमेज बनाता है:

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

वॉयड Linux

बूस्टर स्थापित करें:

xbps-install -S booster

फिर पहले से स्थापित कर्नेल के लिए initramfs को पुनर्जीवित करें:

xbps-reconfigure -f linux

अल्पाइन Linux

बूस्टर स्थापित करें:

apk add booster

फिर सेटअप-विशिष्ट बूटलोडर निर्देशों के लिए /usr/share/doc/booster/README.alpine पढ़ें।

मैनुअल बिल्ड

आप सीधे एक इमेज भी बना सकते हैं:

booster build /boot/booster-linux.img

व्यापक हार्डवेयर सेट वाली अधिक पोर्टेबल इमेज के लिए:

booster build --universal /boot/booster-linux.img

इमेज बनाने के बाद, अपने बूटलोडर को इसकी ओर इंगित करें। पूर्ण कॉन्फ़िगरेशन विवरण के लिए, बूस्टर मैनपेज देखें।

त्वरित प्रारंभ

होस्ट-विशिष्ट इमेज बनाएं:

booster build booster.img

एक विशिष्ट कर्नेल के लिए इमेज बनाएं:

booster build --kernel-version 6.8.9-arch1-1 /boot/booster-linux.img

जनित इमेज का निरीक्षण करें:

booster ls /boot/booster-linux.img

/etc/booster.yaml बदलने के बाद पैक की गई इमेज को पुनर्जीवित करें:

/usr/lib/booster/regenerate_images

यूनिफाइड कर्नेल इमेज जनरेट करें जब आपकी वितरण systemd-ukify प्रदान करता है:

/usr/lib/booster/regenerate_uki build /boot/EFI/Linux

उदाहरण कॉन्फ़िगरेशन

बूस्टर कॉन्फ़िगर करने के लिए जानबूझकर छोटा है। एक साधारण एन्क्रिप्टेड लैपटॉप को अक्सर किसी बड़े कॉन्फ़िग फ़ाइल की आवश्यकता नहीं होती है। अपने बूट पथ की आवश्यकता वाली सुविधाएँ ही जोड़ें:

compression: zstd
vconsole: true
enable_fido2: true
enable_lvm: true
enable_mdraid: true

SSH पर रिमोट अनलॉक के लिए:

network:
  dhcp: on
  ssh_host_key: /etc/booster/ssh_host_ed25519_key
  ssh_authorized_keys: /etc/booster/authorized_keys
  ssh_listen: :22

जब कई हार्डवेयर अनलॉक विधियाँ पंजीकृत हों तो आसान टोकन ऑर्डरिंग के लिए:

serialize_tokens:
  enabled: true
  clevis_timeout: 45s
  tpm2_timeout: 15s
  fido2_timeout: 30s

प्लायमाउथ स्प्लैश समर्थन के लिए:

enable_plymouth: true
modules_force_load: amdgpu

अपनी कर्नेल कमांड लाइन में quiet splash का उपयोग करें, और ग्राफिकल स्प्लैश चाहने पर booster.log=console से बचें।

दस्तावेज़ीकरण

पूर्ण उपयोगकर्ता दस्तावेज़ीकरण बूस्टर मैनपेज में है। यह कवर करता है:

• /etc/booster.yaml विकल्प।
• कर्नेल कमांड-लाइन पैरामीटर।
• LUKS, FIDO2, TPM2, Clevis, कीफ़ाइल और डिटैच्ड-हेडर सेटअप।
• /etc/crypttab एकीकरण।
• SSH पर रिमोट अनलॉक।
• GPT रूट ऑटोडिस्कवरी।
• यूनिफाइड कर्नेल इमेज जनरेशन।
• डीबगिंग और रिकवरी।

समान परियोजनाएं

बूस्टर उसी समस्या स्थान में mkinitcpio और dracut के रूप में रहता है। इसका फोकस एक तेज़, कॉम्पैक्ट, Go-आधारित initramfs जनरेटर है जिसमें मजबूत एन्क्रिप्टेड-बूट एर्गोनॉमिक्स और स्वचालित होस्ट डिस्कवरी है।

स्रोत से बनाएं

परियोजना के तीन मुख्य भाग हैं:

• init - प्रारंभिक यूज़रस्पेस प्रोग्राम जो बूट के दौरान चलता है।
• generator - वह टूल जो initramfs इमेज बनाता है।
• tests - जनित इमेज के लिए QEMU-आधारित एकीकरण परीक्षण।

मानक Go टूलिंग के साथ बनाएं:

go build ./...

यूनिट टेस्ट चलाएं:

go test ./generator ./init

पूर्ण परीक्षण सूट चलाएं:

go test ./...

./tests पैकेज में QEMU एकीकरण परीक्षण हैं और होस्ट को आवश्यक बूट और वर्चुअलाइजेशन टूलिंग स्थापित करने की आवश्यकता है।

श्रेय

इस परियोजना पर काम ट्विटर के हैक वीक के दौरान शुरू हुआ। ओपन-सोर्स विकास का समर्थन करने के लिए ट्विटर को बहुत-बहुत धन्यवाद, और विशेष धन्यवाद इयान ब्राउन को।

बूस्टर की वास्तुकला माइकल स्टैपलबर्ग के distri से प्रेरित थी, और प्रारंभिक संस्करण ने distri के initramfs जनरेटर से कई विचार उधार लिए।

लाइसेंस

LICENSE देखें।