Booster - initramfs rápido, seguro e moderno para Linux

O Booster torna a inicialização inicial mais leve, rápida e confiável. Ele constrói imagens initramfs compactas que movem seu sistema Linux do firmware para o sistema de arquivos raiz real com o mínimo de complicação e forte suporte a boot criptografado.

Em vez de empacotar um grande espaço de usuário inicial genérico, o Booster descobre o que sua máquina realmente precisa e constrói uma imagem focada nisso. O resultado é uma imagem de boot enxuta com os drivers, ferramentas de desbloqueio, suporte a sistemas de arquivos e caminhos de recuperação que seu host precisa, sem carregar um caminhão de coisas em cada reinicialização.

Por que o Booster?

O Booster é construído em torno de uma promessa simples: a inicialização inicial deve ser rápida, clara, segura e agradável de operar.

Destaques:

• Inicialize mais rápido com imagens menores - gere imagens enxutas rapidamente e mantenha a inicialização inicial focada no trabalho que seu sistema realmente precisa.
• Faça o Linux criptografado parecer sem esforço - desbloqueie raízes LUKS usando passphrases, keyfiles, cabeçalhos destacados, TPM2, chaves de segurança FIDO2, bindings no estilo Clevis ou desbloqueio remoto via SSH.
• Use hardware de segurança moderno com confiança - suporte a tokens TPM2 e FIDO2 do systemd-cryptenroll, incluindo suporte nativo a FIDO2 através do caminho de plugin do Booster.
• Desfrute de prompts calmos e coordenados - fluxos de token de hardware, PIN e passphrase funcionam juntos; caminhos de desbloqueio bem-sucedidos cancelam prompts que não são mais necessários.
• Tenha um boot FIDO2 mais suave - o Booster pode pré-verificar chaves FIDO2 conectadas antes de pedir um PIN, ignorar silenciosamente a chave errada e fazer fallback de forma limpa quando um token está ausente.
• Desbloqueie sistemas de onde quer que você os gerencie - use SSH durante a inicialização inicial para máquinas criptografadas headless, montadas em rack ou de difícil acesso.
• Evite espaço de usuário inicial inchado - a descoberta específica do host inclui o que sua máquina precisa por padrão.
• Construa imagens de resgate flexíveis - o modo universal adiciona cobertura de hardware mais ampla para instalações portáteis, mídia de recuperação e hardware em mudança.
• Cubra layouts de armazenamento reais - lide com ext4, Btrfs, ZFS, LVM, mdraid, autodescoberta GPT, dispositivos de retomada de hibernação e múltiplos mapeamentos LUKS.
• Inspecione e depure com confiança - liste, leia e descompacte imagens com comandos integrados antes de confiar nelas para inicializar.

O Booster é uma ótima escolha para laptops criptografados, workstations de desenvolvedores, servidores com necessidades de recuperação remota, sistemas Linux mínimos e configurações de boot que devem permanecer compreensíveis anos após você configurá-las.

Tour de Recursos

Criptografia Que Parece Integrada

O Booster trata a criptografia de disco completo como um fluxo de trabalho de primeira classe, não como um complemento. Ele pode desbloquear dispositivos LUKS a partir de parâmetros do kernel, /etc/crypttab, autodescoberta GPT, referências diretas root= para contêineres LUKS, keyfiles, cabeçalhos destacados e tokens com suporte de hardware.

Os estilos de desbloqueio suportados incluem:

• Desbloqueio com passphrase simples com tratamento cuidadoso de prompts.
• Cache de passphrase compartilhada para volumes criptografados relacionados.
• Keyfiles embutidos no initramfs ou armazenados em um dispositivo separado.
• Cabeçalhos LUKS destacados embutidos na imagem, lidos de um dispositivo de bloco bruto ou carregados de um sistema de arquivos separado.
• Tokens TPM2 e FIDO2 do systemd-cryptenroll.
• Bindings no estilo Clevis para TPM2, Tang e outras políticas suportadas.
• Desbloqueio remoto de passphrase baseado em SSH para sistemas que você não pode alcançar fisicamente.

Tokens de Hardware Sem Arestas

A orquestração de tokens do Booster foi projetada para tornar o boot criptografado polido. Tokens não interativos podem competir em segundo plano, tokens baseados em PIN são solicitados em uma ordem determinística, e o prompt de passphrase regular aparece como fallback em vez de bloquear todo o boot para sempre.

Melhorias recentes no FIDO2 tornam a experiência mais suave:

• O suporte nativo a FIDO2 pode ser habilitado com enable_fido2: true.
• Uma entrada crypttab com fido2-device= pode fazer o Booster empacotar o plugin FIDO2 automaticamente.
• O Booster pode verificar se uma chave FIDO2 conectada realmente possui a credencial antes de pedir seu PIN.
• Dicas de token ausente são atrasadas para que desbloqueios rápidos por TPM2, Clevis ou outros tokens possam ser concluídos sem ruído desnecessário.
• O envio de PIN vazio pula um token e continua para o próximo caminho de desbloqueio.

Imagens Pequenas Que Combinam Com Sua Máquina

Por padrão, o Booster constrói uma imagem específica do host. Ele examina o sistema atual, inclui os módulos e ferramentas necessários para inicializá-lo e deixa de fora peças desnecessárias. Isso mantém a imagem mais fácil de auditar, mais rápida de gerar e mais rápida de executar durante o boot.

Quando você precisa de uma imagem mais ampla, --universal inclui um conjunto mais amplo de módulos para cenários de resgate, mídia portátil ou sistemas onde o hardware pode mudar.

Layouts de Armazenamento Que os Usuários Realmente Usam

O Booster suporta layouts de boot práticos do mundo real, incluindo:

• Partições raiz autodescobertas por GPT.
• Raiz em LUKS, LVM, mdraid, Btrfs, ZFS, NVMe, USB, MMC e eMMC.
• Subvolumes Btrfs e configurações Btrfs multi-dispositivo.
• Dispositivos de retomada de hibernação.
• Referências de dispositivos por UUID=, LABEL=, PARTUUID=, PARTLABEL=, HWPATH=, WWID= ou /dev/....
• Múltiplos mapeamentos criptografados a partir da linha de comando do kernel ou /etc/crypttab.

Melhor Visibilidade na Inicialização Inicial

Quando algo dá errado, o Booster oferece maneiras úteis de ver o que aconteceu. Use booster.log=debug,console para logs de boot detalhados, adicione busybox para um shell de emergência ou habilite o suporte de rede para recuperar logs de uma máquina que não inicializa.

O Booster também inclui comandos de inspeção de imagem para que você possa verificar o que foi construído antes de reiniciar:

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

Instalação

Arch Linux

Instale o pacote oficial:

pacman -S booster

O pacote cria imagens do Booster em /boot/:

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

Void Linux

Instale o Booster com:

xbps-install -S booster

Em seguida, regenere o initramfs para um kernel já instalado:

xbps-reconfigure -f linux

Alpine Linux

Instale o Booster com:

apk add booster

Em seguida, leia /usr/share/doc/booster/README.alpine para instruções de bootloader específicas da configuração.

Fedora

O Booster não está nos repositórios do Fedora. Construa o RPM a partir de um checkout:

dnf install rpm-build golang gcc git-core libfido2-devel rubygem-ronn-ng systemd-rpm-macros
./packaging/fedora/createpkg.sh
dnf install ~/rpmbuild/RPMS/x86_64/booster-*.rpm

Em seguida, selecione o Booster como o gerador em /etc/kernel/install.conf, para que as imagens sejam reconstruídas em atualizações do kernel:

initrd_generator=booster

Compilação manual

Você também pode construir uma imagem diretamente:

booster build /boot/booster-linux.img

Para uma imagem mais portátil com um conjunto de hardware mais amplo:

booster build --universal /boot/booster-linux.img

Após criar a imagem, aponte seu bootloader para ela. Para detalhes completos de configuração, consulte a página de manual do Booster.

Início Rápido

Crie uma imagem específica do host:

booster build booster.img

Crie uma imagem para um kernel específico:

booster build --kernel-version 6.8.9-arch1-1 /boot/booster-linux.img

Inspecione a imagem gerada:

booster ls /boot/booster-linux.img

Regenere imagens empacotadas após alterar /etc/booster.yaml:

/usr/lib/booster/regenerate_images

Gere uma Unified Kernel Image quando sua distribuição fornecer systemd-ukify:

/usr/lib/booster/regenerate_uki build /boot/EFI/Linux

Exemplo de Configuração

O Booster é intencionalmente pequeno para configurar. Um laptop criptografado simples muitas vezes não precisa de nenhum arquivo de configuração grande. Adicione apenas os recursos que seu caminho de boot precisa:

compression: zstd
vconsole: true
enable_fido2: true
enable_lvm: true
enable_mdraid: true

Para desbloqueio remoto via SSH:

network:
  dhcp: on
  ssh_host_key: /etc/booster/ssh_host_ed25519_key
  ssh_authorized_keys: /etc/booster/authorized_keys
  ssh_listen: :22

Para ordenação mais suave de tokens quando vários métodos de desbloqueio por hardware estão inscritos:

serialize_tokens:
  enabled: true
  clevis_timeout: 45s
  tpm2_timeout: 15s
  fido2_timeout: 30s

Para suporte a splash do Plymouth:

enable_plymouth: true
modules_force_load: amdgpu

Use quiet splash na linha de comando do seu kernel e evite booster.log=console quando quiser o splash gráfico.

Documentação

A documentação completa do usuário está na página de manual do Booster. Ela cobre:

• Opções de /etc/booster.yaml.
• Parâmetros da linha de comando do kernel.
• Configuração de LUKS, FIDO2, TPM2, Clevis, keyfile e cabeçalho destacado.
• Integração com /etc/crypttab.
• Desbloqueio remoto via SSH.
• Autodescoberta de raiz GPT.
• Geração de Unified Kernel Image.
• Depuração e recuperação.

Projetos Similares

O Booster vive no mesmo espaço de problemas que mkinitcpio e dracut. Seu foco é um gerador de initramfs rápido, compacto e baseado em Go, com forte ergonomia de boot criptografado e descoberta automática de host.

Compilar a Partir do Código-Fonte

O projeto tem três partes principais:

• init - o programa do espaço de usuário inicial que é executado durante o boot.
• generator - a ferramenta que constrói a imagem initramfs.
• tests - testes de integração baseados em QEMU para imagens geradas.

Compile com as ferramentas padrão do Go:

go build ./...

Execute os testes unitários:

go test ./generator ./init

Execute a suíte de testes completa:

go test ./...

O pacote ./tests contém testes de integração QEMU e requer que o host tenha as ferramentas de boot e virtualização necessárias instaladas, incluindo qemu-img, que algumas distribuições empacotam separadamente do emulador. Construa os ativos de teste e liste as ferramentas necessárias:

go test ./tests -bootstrap -timeout=0

Pede-se que novos testes chamem t.Parallel() onde puderem. Uma execução simples ainda é um teste por vez, mas -parallel N inicializa várias VMs ao mesmo tempo, e um teste que não pode participar silenciosamente custa tempo de relógio em vez de falhar, então uma nota dizendo o porquê é mais útil do que a chamada ausente.

Quantas VMs realmente são executadas ao mesmo tempo é limitado pelo que o host pode servir, derivado de sua memória e núcleos. -vm.smp, -vm.mem e -vm.max substituem o tamanho do guest e esse limite.

Créditos

O trabalho neste projeto começou durante a hack week do Twitter. Agradecimentos enormes ao Twitter por apoiar o desenvolvimento de código aberto, e agradecimentos especiais a Ian Brown.

A arquitetura do Booster foi inspirada no distri de Michael Stapelberg, e a versão inicial emprestou muitas ideias do gerador de initramfs do distri.

Licença

Veja LICENSE.