Booster — быстрый, безопасный, современный initramfs для Linux

Booster делает раннюю загрузку легче, быстрее и надёжнее. Он собирает компактные образы initramfs, которые переводят вашу систему Linux от прошивки к реальной корневой файловой системе с минимумом хлопот и мощной поддержкой шифрованной загрузки.

Вместо того чтобы упаковывать большое универсальное раннее пользовательское пространство, Booster определяет, что действительно нужно вашей машине, и строит образ вокруг этого. В результате получается компактный загрузочный образ с драйверами, инструментами разблокировки, поддержкой файловых систем и путями восстановления, которые нужны вашему хосту, — без лишнего багажа при каждой перезагрузке.

Почему Booster?

Booster построен вокруг простого обещания: ранняя загрузка должна быть быстрой, понятной, безопасной и приятной в работе.

Основные возможности:

• Загружайтесь быстрее с меньшими образами — быстро создавайте компактные образы и держите раннюю загрузку сосредоточенной на том, что действительно нужно вашей системе.
• Сделайте шифрованный Linux простым — разблокируйте корни LUKS с помощью парольных фраз, keyfile, отсоединённых заголовков, TPM2, ключей безопасности FIDO2, привязок в стиле Clevis или удалённой разблокировки по SSH.
• Уверенно используйте современное защитное оборудование — поддержка токенов TPM2 и FIDO2 через systemd-cryptenroll, включая нативную поддержку FIDO2 через плагинный путь Booster.
• Наслаждайтесь спокойными, согласованными запросами — потоки с аппаратными токенами, PIN и парольными фразами работают вместе; успешные пути разблокировки отменяют запросы, которые больше не нужны.
• Получите более плавную загрузку с FIDO2 — Booster может заранее проверить подключённые ключи FIDO2 перед запросом PIN, молча пропустить неподходящий ключ и корректно перейти к запасному варианту, если токен отсутствует.
• Разблокируйте системы откуда угодно — используйте SSH во время ранней загрузки для headless, стоечных или труднодоступных шифрованных машин.
• Избегайте раздутого раннего пользовательского пространства — обнаружение с учётом хоста по умолчанию включает то, что нужно вашей машине.
• Создавайте гибкие спасательные образы — универсальный режим добавляет более широкое покрытие оборудования для портативных установок, спасательных носителей и меняющегося оборудования.
• Охватывайте реальные схемы хранения — работа с ext4, Btrfs, ZFS, LVM, mdraid, автообнаружением GPT, устройствами возобновления после гибернации и множественными отображениями LUKS.
• Изучайте и отлаживайте с уверенностью — просматривайте, читайте и распаковывайте образы встроенными командами, прежде чем доверить им загрузку.

Booster отлично подходит для шифрованных ноутбуков, рабочих станций разработчиков, серверов с потребностью в удалённом восстановлении, минимальных систем Linux и схем загрузки, которые должны оставаться понятными спустя годы после настройки.

Обзор возможностей

Шифрование, которое ощущается встроенным

Booster рассматривает полнодисковое шифрование как первостепенный рабочий процесс, а не как дополнение. Он может разблокировать устройства LUKS из параметров ядра, /etc/crypttab, автообнаружения GPT, прямых ссылок root= на контейнеры LUKS, keyfile, отсоединённых заголовков и токенов на аппаратной основе.

Поддерживаемые способы разблокировки включают:

• Обычную разблокировку парольной фразой с аккуратной обработкой запросов.
• Кэширование общей парольной фразы для связанных шифрованных томов.
• Keyfile, встроенные в initramfs или хранящиеся на отдельном устройстве.
• Отсоединённые заголовки LUKS, встроенные в образ, читаемые с сырого блочного устройства или загружаемые с отдельной файловой системы.
• Токены TPM2 и FIDO2 через systemd-cryptenroll.
• Привязки в стиле Clevis для TPM2, Tang и других поддерживаемых политик.
• Удалённую разблокировку парольной фразой по SSH для систем, до которых нельзя добраться физически.

Аппаратные токены без шероховатостей

Оркестрация токенов в Booster создана, чтобы шифрованная загрузка ощущалась отточенной. Неинтерактивные токены могут соревноваться в фоне, токены на основе PIN запрашиваются в детерминированном порядке, а обычный запрос парольной фразы появляется как запасной вариант, вместо того чтобы блокировать всю загрузку навсегда.

Недавние улучшения FIDO2 делают работу плавнее:

• Нативную поддержку FIDO2 можно включить с помощью enable_fido2: true.
• Запись в crypttab с fido2-device= может заставить Booster автоматически включить плагин FIDO2.
• Booster может проверить, действительно ли у подключённого ключа FIDO2 есть учётные данные, прежде чем запрашивать его PIN.
• Подсказки об отсутствующем токене задерживаются, чтобы быстрая разблокировка через TPM2, Clevis или другие токены могла завершиться без лишнего шума.
• Отправка пустого PIN пропускает токен и продолжает к следующему пути разблокировки.

Небольшие образы, соответствующие вашей машине

По умолчанию Booster собирает образ с учётом конкретного хоста. Он смотрит на текущую систему, включает модули и инструменты, необходимые для её загрузки, и опускает ненужные части. Это делает образ проще для аудита, быстрее для создания и быстрее для выполнения во время загрузки.

Когда нужен более широкий образ, --universal включает более широкий набор модулей для спасательных сценариев, портативных носителей или систем, где оборудование может меняться.

Схемы хранения, которые действительно используют

Booster поддерживает практичные реальные схемы загрузки, включая:

• Корневые разделы, автообнаруживаемые через GPT.
• Корень на LUKS, LVM, mdraid, Btrfs, ZFS, NVMe, USB, MMC и eMMC.
• Подтома Btrfs и многодисковые конфигурации Btrfs.
• Устройства возобновления после гибернации.
• Ссылки на устройства по UUID=, LABEL=, PARTUUID=, PARTLABEL=, HWPATH=, WWID= или /dev/....
• Множественные шифрованные отображения из командной строки ядра или /etc/crypttab.

Лучшая видимость ранней загрузки

Когда что-то идёт не так, Booster даёт полезные способы увидеть, что произошло. Используйте booster.log=debug,console для подробных журналов загрузки, добавьте busybox для аварийной оболочки или включите поддержку сети, чтобы получить журналы с незагружаемой машины.

Booster также включает команды инспекции образов, чтобы вы могли проверить, что было собрано, до перезагрузки:

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

Установка

Arch Linux

Установите официальный пакет:

pacman -S booster

Пакет создаёт образы Booster в /boot/:

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

Void Linux

Установите Booster с помощью:

xbps-install -S booster

Затем перегенерируйте initramfs для уже установленного ядра:

xbps-reconfigure -f linux

Alpine Linux

Установите Booster с помощью:

apk add booster

Затем прочитайте /usr/share/doc/booster/README.alpine для инструкций по настройке загрузчика, специфичных для этой системы.

Fedora

Booster нет в репозиториях Fedora. Соберите RPM из рабочей копии:

dnf install rpm-build golang gcc git-core libfido2-devel rubygem-ronn-ng systemd-rpm-macros
./packaging/fedora/createpkg.sh
dnf install ~/rpmbuild/RPMS/x86_64/booster-*.rpm

Затем выберите Booster в качестве генератора в /etc/kernel/install.conf, чтобы образы пересобирались при обновлениях ядра:

initrd_generator=booster

Ручная сборка

Вы также можете собрать образ напрямую:

booster build /boot/booster-linux.img

Для более портативного образа с более широким набором оборудования:

booster build --universal /boot/booster-linux.img