Booster - initramfs veloce, sicuro e moderno per Linux

Booster rende l'avvio iniziale più leggero, veloce e affidabile. Costruisce immagini initramfs compatte che portano il tuo sistema Linux dal firmware al filesystem root reale con il minimo sforzo e un forte supporto per l'avvio crittografato.

Invece di impacchettare un ampio userspace generico iniziale, Booster scopre ciò di cui la tua macchina ha realmente bisogno e costruisce un'immagine focalizzata su di esso. Il risultato è un'immagine di avvio snella con i driver, gli strumenti di sblocco, il supporto per i filesystem e i percorsi di ripristino di cui il tuo host necessita, senza portare un intero armamentario in ogni riavvio.

Perché Booster?

Booster è costruito attorno a una semplice promessa: l'avvio iniziale dovrebbe essere rapido, chiaro, sicuro e piacevole da utilizzare.

Punti salienti:

• Avvia più velocemente con immagini più piccole - genera immagini snelle rapidamente e mantieni l'avvio iniziale focalizzato sul lavoro di cui il tuo sistema ha realmente bisogno.
• Rendi l'uso di Linux crittografato senza sforzo - sblocca le root LUKS utilizzando passphrase, file di chiave, header distaccati, TPM2, chiavi di sicurezza FIDO2, binding stile Clevis, o sblocco SSH remoto.
• Usa l'hardware di sicurezza moderno con sicurezza - supporta token TPM2 e FIDO2 di systemd-cryptenroll, incluso il supporto nativo FIDO2 tramite il percorso plugin di Booster.
• Goditi prompt calmi e coordinati - i flussi di token hardware, PIN e passphrase lavorano insieme; i percorsi di sblocco riusciti annullano i prompt che non sono più necessari.
• Ottieni un avvio FIDO2 più fluido - Booster può pre-controllare le chiavi FIDO2 connesse prima di chiedere un PIN, saltare silenziosamente la chiave sbagliata e tornare indietro pulitamente quando un token è assente.
• Sblocca i sistemi da dove li gestisci - utilizza SSH durante l'avvio iniziale per macchine crittografate headless, montate su rack o difficili da raggiungere.
• Evita un userspace iniziale gonfio - la scoperta specifica dell'host include ciò di cui la tua macchina ha bisogno per impostazione predefinita.
• Costruisci immagini di ripristino flessibili - la modalità universale aggiunge una copertura hardware più ampia per installazioni portatili, supporti di ripristino e hardware variabile.
• Copri layout di archiviazione reali - gestisci ext4, Btrfs, ZFS, LVM, mdraid, autodiscovery GPT, dispositivi di ripresa dall'ibernazione e multiple mappature LUKS.
• Ispeziona e debugga con sicurezza - elenca, leggi e decomprimi le immagini con comandi integrati prima di fidarti che si avviino.

Booster è una scelta eccellente per laptop crittografati, workstation di sviluppo, server con esigenze di ripristino remoto, sistemi Linux minimali e configurazioni di avvio che dovrebbero rimanere comprensibili anni dopo averle configurate.

Panoramica delle funzionalità

Crittografia che sembra integrata

Booster tratta la crittografia dell'intero disco come un flusso di lavoro di prima classe, non come un'aggiunta. Può sbloccare i dispositivi LUKS da parametri del kernel, /etc/crypttab, autodiscovery GPT, riferimenti diretti root= a container LUKS, file di chiave, header distaccati e token hardware.

Gli stili di sblocco supportati includono:

• Sblocco con passphrase semplice con gestione attenta del prompt.
• Caching della passphrase condivisa per volumi crittografati correlati.
• File di chiave incorporati nell'initramfs o memorizzati su un dispositivo separato.
• Header LUKS distaccati incorporati nell'immagine, letti da un dispositivo a blocchi grezzo, o caricati da un filesystem separato.
• systemd-cryptenroll token TPM2 e FIDO2.
• Binding in stile Clevis per TPM2, Tang e altre policy supportate.
• Sblocco remoto della passphrase basato su SSH per sistemi che non puoi raggiungere fisicamente.

Token hardware senza spigoli

L'orchestrazione dei token di Booster è progettata per rendere l'avvio crittografato raffinato. I token non interattivi possono competere in background, i token basati su PIN vengono richiesti in un ordine deterministico, e il prompt della passphrase regolare appare come fallback invece di bloccare l'intero avvio per sempre.

I recenti miglioramenti FIDO2 rendono l'esperienza più fluida:

• Il supporto nativo FIDO2 può essere abilitato con enable_fido2: true.
• Una voce in crypttab con fido2-device= può far sì che Booster includa automaticamente il plugin FIDO2.
• Booster può verificare se una chiave FIDO2 connessa ha effettivamente il credential prima di chiedere il suo PIN.
• Gli hint di token mancante sono ritardati in modo che sblocchi rapidi TPM2, Clevis o altri token possano completarsi senza rumore inutile.
• L'invio di un PIN vuoto salta un token e prosegue al prossimo percorso di sblocco.

Immagini piccole che corrispondono alla tua macchina

Per impostazione predefinita, Booster costruisce un'immagine specifica per l'host. Guarda il sistema corrente, include i moduli e gli strumenti necessari per avviarlo, e lascia fuori i pezzi non necessari. Ciò mantiene l'immagine più facile da verificare, più veloce da generare e più veloce da eseguire durante l'avvio.

Quando hai bisogno di un'immagine più ampia, --universal include un set più ampio di moduli per scenari di ripristino, supporti portatili o sistemi in cui l'hardware può cambiare.

Layout di archiviazione che gli utenti usano realmente

Booster supporta layout di avvio pratici del mondo reale, tra cui:

• Partizioni root autodiscoverabili GPT.
• Root su LUKS, LVM, mdraid, Btrfs, ZFS, NVMe, USB, MMC ed eMMC.
• Sottovolumi Btrfs e configurazioni Btrfs multi-dispositivo.
• Dispositivi di ripresa dall'ibernazione.
• Riferimenti a dispositivi tramite UUID=, LABEL=, PARTUUID=, PARTLABEL=, HWPATH=, WWID= o /dev/....
• Multiple mappature crittografate dalla riga di comando del kernel o da /etc/crypttab.

Migliore visibilità durante l'avvio iniziale

Quando qualcosa va storto, Booster ti fornisce modi utili per vedere cosa è successo. Usa booster.log=debug,console per log di avvio dettagliati, aggiungi busybox per una shell di emergenza, o abilita il supporto di rete per recuperare i log da una macchina non avviabile.

Booster include anche comandi di ispezione delle immagini in modo da poter verificare cosa è stato costruito prima di riavviare:

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

Installazione

Arch Linux

Installa il pacchetto ufficiale:

pacman -S booster

Il pacchetto crea immagini Booster in /boot/:

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

Void Linux

Installa Booster con:

xbps-install -S booster

Quindi rigenera l'initramfs per un kernel già installato:

xbps-reconfigure -f linux

Alpine Linux

Installa Booster con:

apk add booster

Quindi leggi /usr/share/doc/booster/README.alpine per istruzioni specifiche sul bootloader di configurazione.

Compilazione manuale

Puoi anche costruire un'immagine direttamente:

booster build /boot/booster-linux.img

Per un'immagine più portabile con un set hardware più ampio:

booster build --universal /boot/booster-linux.img

Dopo aver creato l'immagine, punta il tuo bootloader verso di essa. Per i dettagli completi sulla configurazione, consulta la pagina del manuale di Booster.

Avvio rapido

Crea un'immagine specifica per l'host:

booster build booster.img

Crea un'immagine per un kernel specifico:

booster build --kernel-version 6.8.9-arch1-1 /boot/booster-linux.img

Ispeziona l'immagine generata:

booster ls /boot/booster-linux.img

Rigenera le immagini impacchettate dopo aver modificato /etc/booster.yaml:

/usr/lib/booster/regenerate_images

Genera un'Immagine Kernel Unificata quando la tua distribuzione fornisce systemd-ukify:

/usr/lib/booster/regenerate_uki build /boot/EFI/Linux

Configurazione di esempio

Booster è intenzionalmente piccolo da configurare. Un semplice laptop crittografato spesso non ha bisogno di un file di configurazione grande. Aggiungi solo le funzionalità di cui il tuo percorso di avvio necessita:

compression: zstd
vconsole: true
enable_fido2: true
enable_lvm: true
enable_mdraid: true

Per lo sblocco remoto via SSH:

network:
  dhcp: on
  ssh_host_key: /etc/booster/ssh_host_ed25519_key
  ssh_authorized_keys: /etc/booster/authorized_keys
  ssh_listen: :22

Per un ordinamento dei token più fluido quando sono registrati più metodi di sblocco hardware:

serialize_tokens:
  enabled: true
  clevis_timeout: 45s
  tpm2_timeout: 15s
  fido2_timeout: 30s

Per il supporto splash di Plymouth:

enable_plymouth: true
modules_force_load: amdgpu

Usa quiet splash nella riga di comando del kernel ed evita booster.log=console quando vuoi lo splash grafico.

Documentazione

La documentazione completa per l'utente è nella pagina del manuale di Booster. Copre:

• Opzioni di /etc/booster.yaml.
• Parametri della riga di comando del kernel.
• Configurazione LUKS, FIDO2, TPM2, Clevis, file di chiave e header distaccati.
• Integrazione di /etc/crypttab.
• Sblocco remoto via SSH.
• Autodiscovery della root GPT.
• Generazione di Immagine Kernel Unificata.
• Debug e ripristino.

Progetti simili

Booster opera nello stesso spazio problematico di mkinitcpio e dracut. Il suo focus è un generatore initramfs veloce, compatto, basato su Go, con una forte ergonomia per l'avvio crittografato e scoperta automatica dell'host.

Compilare dal sorgente

Il progetto ha tre parti principali:

• init - il programma dell'userspace iniziale che viene eseguito durante l'avvio.
• generator - lo strumento che costruisce l'immagine initramfs.
• tests - test di integrazione basati su QEMU per le immagini generate.

Compila con gli strumenti Go standard:

go build ./...

Esegui i test unitari:

go test ./generator ./init

Esegui la suite di test completa:

go test ./...

Il pacchetto ./tests contiene test di integrazione QEMU e richiede che l'host abbia installati gli strumenti di boot e virtualizzazione necessari.

Crediti

Il lavoro su questo progetto è iniziato durante la hack week di Twitter. Un enorme ringraziamento a Twitter per aver supportato lo sviluppo open-source, e un ringraziamento speciale a Ian Brown.

L'architettura di Booster è stata ispirata da distri di Michael Stapelberg, e la versione iniziale ha preso in prestito molte idee dal generatore initramfs di distri.

Licenza

Vedi LICENSE.