Booster - 高速、安全、モダンなLinux用initramfs

Boosterは、初期ブートをより軽く、速く、信頼性の高いものにします。最小限の手間と強力な暗号化ブートサポートで、Linuxシステムをファームウェアから実際のルートファイルシステムへ移行するコンパクトなinitramfsイメージを構築します。

大きな汎用の初期ユーザースペースを詰め込む代わりに、Boosterはマシンが実際に必要とするものを検出し、それに焦点を当てたイメージを構築します。その結果、ホストが必要とするドライバ、アンロックツール、ファイルシステムサポート、リカバリパスを備えた、無駄のないブートイメージが得られ、毎回の再起動に余計なものを詰め込む必要はありません。

Why Booster?

Boosterはシンプルな約束に基づいて構築されています：初期ブートは迅速、明確、安全、そして操作が快適であるべきです。

ハイライト：

• 小さなイメージで高速ブート - 素早くスリムなイメージを生成し、初期ブートをシステムが実際に必要な作業に集中させます。
• 暗号化されたLinuxを楽に - パスフレーズ、キーファイル、デタッチドヘッダ、TPM2、FIDO2セキュリティキー、Clevisスタイルのバインディング、またはリモートSSHアンロックを使用してLUKSルートをアンロックします。
• 最新のセキュリティハードウェアを自信を持って使用 - systemd-cryptenroll TPM2およびFIDO2トークンをサポートし、BoosterのプラグインパスによるネイティブFIDO2サポートも含みます。
• 落ち着いた、調整されたプロンプト - ハードウェアトークン、PIN、パスフレーズのフローが連携し、成功したアンロックパスは不要になったプロンプトをキャンセルします。
• よりスムーズなFIDO2ブート - BoosterはPINを要求する前に接続されているFIDO2キーを事前チェックし、間違ったキーを静かにスキップし、トークンがない場合はクリーンにフォールバックします。
• 管理する場所からシステムをアンロック - ヘッドレス、ラックマウント、またはアクセスが困難な暗号化マシンのために、初期ブート中にSSHを使用します。
• 肥大化した初期ユーザースペースを回避 - ホスト固有の検出により、デフォルトでマシンが必要とするものを含めます。
• 柔軟なレスキューイメージの構築 - ユニバーサルモードは、ポータブルインストール、リカバリメディア、ハードウェア変更に対応するために、より広範なハードウェアカバレッジを追加します。
• 実際のストレージレイアウトをカバー - ext4、Btrfs、ZFS、LVM、mdraid、GPT自動検出、ハイバネーション再開デバイス、複数のLUKSマッピングを処理します。
• 自信を持って検査とデバッグ - ブートに使用する前に、組み込みコマンドでイメージのリスト表示、読み取り、展開を行います。

Boosterは、暗号化されたラップトップ、開発者ワークステーション、リモートリカバリが必要なサーバ、ミニマルなLinuxシステム、そして設定から数年後も理解可能なブートセットアップに最適です。

Feature Tour

Encryption That Feels Built In

Boosterは、フルディスク暗号化をアドオンではなく第一級のワークフローとして扱います。カーネルパラメータ、/etc/crypttab、GPT自動検出、LUKSコンテナへの直接のroot=参照、キーファイル、デタッチドヘッダ、ハードウェアバックアップトークンからLUKSデバイスをアンロックできます。

サポートされるアンロックスタイルは次のとおりです：

• 注意深いプロンプト処理によるプレーンパスフレーズアンロック。
• 関連する暗号化ボリュームのための共有パスフレーズキャッシング。
• initramfsに埋め込まれた、または別のデバイスに保存されたキーファイル。
• イメージに埋め込まれた、rawブロックデバイスから読み取られた、または別のファイルシステムからロードされたデタッチドLUKSヘッダ。
• systemd-cryptenroll TPM2およびFIDO2トークン。
• TPM2、Tang、およびその他のサポートされるポリシーのためのClevisスタイルのバインディング。
• 物理的にアクセスできないシステムのためのSSHベースのリモートパスフレーズアンロック。

Hardware Tokens Without Rough Edges

Boosterのトークンオーケストレーションは、暗号化ブートを洗練されたものにするよう設計されています。非対話型トークンはバックグラウンドで競合でき、PINベースのトークンは決定論的な順序でプロンプト表示され、通常のパスフレーズプロンプトはブート全体を永久にブロックする代わりにフォールバックとして表示されます。

最近のFIDO2の改善により、エクスペリエンスがさらにスムーズになりました：

• ネイティブFIDO2サポートはenable_fido2: trueで有効にできます。
• fido2-device=を含むcrypttabエントリにより、Boosterは自動的にFIDO2プラグインをバンドルできます。
• Boosterは、PINを要求する前に、接続されたFIDO2キーが実際に資格情報を持っているかどうかを確認できます。
• トークン欠落のヒントは遅延されるため、高速なTPM2、Clevis、その他のトークンアンロックが不必要なノイズなく完了できます。
• 空のPIN送信はトークンをスキップし、次のアンロックパスに進みます。

Small Images That Match Your Machine

デフォルトでは、Boosterはホスト固有のイメージを構築します。現在のシステムを調べ、そのブートに必要なモジュールとツールを含め、不要な部分を除外します。これにより、イメージの監査が容易になり、生成が高速になり、ブート中の実行も高速になります。

より広範なイメージが必要な場合、--universalはレスキューシナリオ、ポータブルメディア、またはハードウェアが変更される可能性のあるシステムのために、より広いモジュールセットを含めます。

Storage Layouts Users Actually Run

Boosterは実用的な実際のブートレイアウトをサポートします：

• GPT自動検出可能なルートパーティション。
• LUKS、LVM、mdraid、Btrfs、ZFS、NVMe、USB、MMC、eMMC上のルート。
• BtrfsサブボリュームとマルチデバイスBtrfsセットアップ。
• ハイバネーション再開デバイス。
• UUID=、LABEL=、PARTUUID=、PARTLABEL=、HWPATH=、WWID=、または/dev/...によるデバイス参照。
• カーネルコマンドラインまたは/etc/crypttabからの複数の暗号化マッピング。

Better Early-Boot Visibility

何か問題が発生した場合、Boosterは何が起こったかを確認するための有用な方法を提供します。詳細なブートログにはbooster.log=debug,consoleを使用し、緊急シェルにはbusyboxを追加するか、ネットワークサポートを有効にして起動できないマシンからログを取得します。

Boosterにはイメージ検査コマンドも含まれており、再起動前に何が構築されたかを確認できます：

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

Install

Arch Linux

公式パッケージをインストール：

pacman -S booster

パッケージは/boot/にBoosterイメージを作成します：

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

Void Linux

Boosterを以下でインストール：

xbps-install -S booster

その後、すでにインストールされているカーネルのinitramfsを再生成：

xbps-reconfigure -f linux

Alpine Linux

Boosterを以下でインストール：

apk add booster

その後、/usr/share/doc/booster/README.alpineを読んで、セットアップ固有のブートローダ手順を確認してください。

Manual build

イメージを直接構築することもできます：

booster build /boot/booster-linux.img

より広範なハードウェアセットを持つ、よりポータブルなイメージの場合：

booster build --universal /boot/booster-linux.img

イメージを作成した後、ブートローダにそれを指定します。完全な設定の詳細は、Booster manpageを参照してください。

Quick Start

ホスト固有のイメージを作成：

booster build booster.img

特定のカーネル用のイメージを作成：

booster build --kernel-version 6.8.9-arch1-1 /boot/booster-linux.img

生成されたイメージを検査：

booster ls /boot/booster-linux.img

/etc/booster.yamlを変更した後、パッケージ化されたイメージを再生成：

/usr/lib/booster/regenerate_images

ディストリビューションがsystemd-ukifyを提供する場合、Unified Kernel Imageを生成：

/usr/lib/booster/regenerate_uki build /boot/EFI/Linux

Example Configuration

Boosterは設定が意図的に小規模です。シンプルな暗号化ラップトップは、多くの場合、大きな設定ファイルを全く必要としません。ブートパスに必要な機能のみを追加します：

compression: zstd
vconsole: true
enable_fido2: true
enable_lvm: true
enable_mdraid: true

SSH経由のリモートアンロックの場合：

network:
  dhcp: on
  ssh_host_key: /etc/booster/ssh_host_ed25519_key
  ssh_authorized_keys: /etc/booster/authorized_keys
  ssh_listen: :22

複数のハードウェアアンロック方法が登録されている場合の、よりスムーズなトークン順序付け：

serialize_tokens:
  enabled: true
  clevis_timeout: 45s
  tpm2_timeout: 15s
  fido2_timeout: 30s

Plymouthスプラッシュサポートの場合：

enable_plymouth: true
modules_force_load: amdgpu

カーネルコマンドラインでquiet splashを使用し、グラフィカルスプラッシュが必要な場合はbooster.log=consoleを避けてください。

Documentation

完全なユーザードキュメントはBooster manpageにあります。これには以下が含まれます：

• /etc/booster.yamlオプション。
• カーネルコマンドラインパラメータ。
• LUKS、FIDO2、TPM2、Clevis、キーファイル、デタッチドヘッダのセットアップ。
• /etc/crypttab統合。
• SSH経由のリモートアンロック。
• GPTルート自動検出。
• Unified Kernel Image生成。
• デバッグとリカバリ。

Similar Projects

Boosterは、mkinitcpioやdracutと同じ問題空間に存在します。その焦点は、強力な暗号化ブートの人間工学と自動ホスト検出を備えた、高速でコンパクトなGoベースのinitramfsジェネレータです。

Build From Source

プロジェクトには3つの主要な部分があります：

• init - ブート中に実行される初期ユーザースペースプログラム。
• generator - initramfsイメージを構築するツール。
• tests - 生成されたイメージのQEMUベースの統合テスト。

標準のGoツールでビルド：

go build ./...

単体テストを実行：

go test ./generator ./init

完全なテストスイートを実行：

go test ./...

./testsパッケージにはQEMU統合テストが含まれており、ホストに必要なブートおよび仮想化ツールがインストールされている必要があります。

Credits

このプロジェクトの作業はTwitterのハックウィーク中に始まりました。オープンソース開発を支援してくれたTwitterに多大な感謝を、そして特にIan Brownに感謝します。

BoosterのアーキテクチャはMichael Stapelbergのdistriに触発され、初期バージョンはdistriのinitramfsジェネレータから多くのアイデアを借用しました。

License

LICENSEを参照してください。