Booster — быстрый, безопасный, современный initramfs для Linux

Booster делает раннюю загрузку более лёгкой, быстрой и надёжной. Он создаёт компактные образы initramfs, которые переводят вашу Linux-систему от прошивки к настоящей корневой файловой системе с минимальными усилиями и мощной поддержкой зашифрованной загрузки.

Вместо того чтобы упаковывать большое универсальное раннее пользовательское пространство, Booster определяет, что реально нужно вашей машине, и строит целенаправленный образ вокруг этого. Результат — компактный загрузочный образ с драйверами, инструментами для разблокировки, поддержкой файловых систем и путями восстановления, необходимыми вашему хосту, без протаскивания «кухонной раковины» в каждую перезагрузку.

Почему Booster?

Booster построен на простом обещании: ранняя загрузка должна быть быстрой, понятной, безопасной и приятной в использовании.

Основные преимущества:

• Загружайтесь быстрее с меньшими образами — быстро создавайте компактные образы и сосредоточьте раннюю загрузку только на том, что действительно нужно вашей системе.
• Сделайте зашифрованный Linux удобным — разблокируйте LUKS-корни с помощью паролей, файлов ключей, отделённых заголовков, TPM2, ключей безопасности FIDO2, привязок в стиле Clevis или удалённой разблокировки через SSH.
• Уверенно используйте современные аппаратные средства безопасности — поддержка systemd-cryptenroll TPM2 и FIDO2-токенов, включая нативную поддержку FIDO2 через плагинный путь Booster.
• Наслаждайтесь спокойными, координированными запросами — потоки ввода аппаратных токенов, PIN-кодов и паролей работают совместно; успешные пути разблокировки отменяют запросы, которые больше не нужны.
• Получите более плавную FIDO2-загрузку — Booster может предварительно проверять подключённые FIDO2-ключи перед запросом PIN-кода, молча пропускать неправильный ключ и аккуратно переключаться на резервный путь, если токен отсутствует.
• Разблокируйте системы откуда угодно — используйте SSH во время ранней загрузки для безголовых, стоечных или труднодоступных зашифрованных машин.
• Избегайте раздутого раннего пользовательского пространства — обнаружение, специфичное для хоста, включает то, что нужно вашей машине по умолчанию.
• Создавайте гибкие rescue-образы — универсальный режим добавляет более широкий набор оборудования для переносных установок, восстановительных носителей и систем с меняющимся оборудованием.
• Покрывайте реальные конфигурации хранилищ — ext4, Btrfs, ZFS, LVM, mdraid, GPT-автообнаружение, устройства возобновления после гибернации и несколько LUKS-разделов.
• Проверяйте и отлаживайте с уверенностью — смотрите список, читайте и распаковывайте образы встроенными командами, прежде чем доверять им загрузку.

Booster отлично подходит для зашифрованных ноутбуков, рабочих станций разработчиков, серверов с возможностью удалённого восстановления, минимальных Linux-систем и загрузочных конфигураций, которые должны оставаться понятными через годы после настройки.

Обзор возможностей

Шифрование, которое чувствуется встроенным

Booster рассматривает полнодисковое шифрование как первоклассный рабочий процесс, а не дополнение. Он может разблокировать LUKS-устройства из параметров ядра, /etc/crypttab, GPT-автообнаружения, прямых ссылок root= на LUKS-контейнеры, файлов ключей, отделённых заголовков и аппаратно-поддерживаемых токенов.

Поддерживаемые стили разблокировки включают:

• Простая разблокировка паролем с аккуратным выводом запроса.
• Кеширование общего пароля для связанных зашифрованных томов.
• Файлы ключей, встроенные в initramfs или хранящиеся на отдельном устройстве.
• Отделённые LUKS-заголовки, встроенные в образ, считанные с сырого блочного устройства или загруженные с отдельной файловой системы.
• Токены systemd-cryptenroll TPM2 и FIDO2.
• Привязки в стиле Clevis для TPM2, Tang и других поддерживаемых политик.
• Удалённая разблокировка по SSH для систем, до которых вы не можете добраться физически.

Аппаратные токены без шероховатостей

Оркестровка токенов Booster спроектирована так, чтобы зашифрованная загрузка ощущалась продуманной. Неинтерактивные токены могут работать в фоне, PIN-токены запрашиваются в детерминированном порядке, а обычный запрос пароля появляется как запасной вариант, а не блокирует загрузку навсегда.

Недавние улучшения FIDO2 делают работу ещё более плавной:

• Нативная поддержка FIDO2 может быть включена с помощью enable_fido2: true.
• Запись в crypttab с fido2-device= может заставить Booster автоматически включить плагин FIDO2.
• Booster может проверять, есть ли на подключённом FIDO2-ключе необходимые учётные данные, прежде чем запрашивать PIN-код.
• Подсказки об отсутствующем токене откладываются, чтобы быстрые TPM2, Clevis или другие токены могли завершить разблокировку без лишнего шума.
• Отправка пустого PIN-кода пропускает токен и переходит к следующему пути разблокировки.

Компактные образы, соответствующие вашей машине

По умолчанию Booster создаёт образ, специфичный для хоста. Он смотрит на текущую систему, включает модули и инструменты, необходимые для её загрузки, и оставляет ненужные части. Это делает образ проще для аудита, быстрее генерируется и быстрее выполняется во время загрузки.

Когда требуется более широкий образ, --universal включает расширенный набор модулей для сценариев восстановления, переносных носителей или систем, где оборудование может меняться.

Конфигурации хранилищ, которые реально используют пользователи

Booster поддерживает практичные реальные конфигурации загрузки, включая:

• GPT-автообнаруживаемые корневые разделы.
• Root на LUKS, LVM, mdraid, Btrfs, ZFS, NVMe, USB, MMC и eMMC.
• Btrfs-подтома и многодисковые конфигурации Btrfs.
• Устройства возобновления после гибернации.
• Ссылки на устройства по UUID=, LABEL=, PARTUUID=, PARTLABEL=, HWPATH=, WWID= или /dev/....
• Несколько зашифрованных маппингов из командной строки ядра или /etc/crypttab.

Лучшая видимость ранней загрузки

Когда что-то идёт не так, Booster даёт полезные способы увидеть, что произошло. Используйте booster.log=debug,console для подробных логов загрузки, добавьте busybox для аварийной оболочки или включите поддержку сети, чтобы получить логи с незагружаемой машины.

Booster также включает команды для проверки образа, так что вы можете убедиться, что было построено, до перезагрузки:

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

Установка

Arch Linux

Установите официальный пакет:

pacman -S booster

Пакет создаёт образы Booster в /boot/:

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

Void Linux

Установите Booster с помощью:

xbps-install -S booster

Затем пересоздайте initramfs для уже установленного ядра:

xbps-reconfigure -f linux

Alpine Linux

Установите Booster с помощью:

apk add booster

Затем прочитайте /usr/share/doc/booster/README.alpine для инструкций по настройке загрузчика, специфичных для этой системы.

Ручная сборка

Вы также можете построить образ напрямую:

booster build /boot/booster-linux.img

Для более портативного образа с более широким набором оборудования:

booster build --universal /boot/booster-linux.img

После создания образа укажите на него в вашем загрузчике. Полные сведения о конфигурации см. в странице руководства Booster.

Быстрый старт

Создайте образ, специфичный для хоста:

booster build booster.img

Создайте образ для конкретного ядра:

booster build --kernel-version 6.8.9-arch1-1 /boot/booster-linux.img

Просмотрите сгенерированный образ:

booster ls /boot/booster-linux.img

Пересоздайте образы из пакетов после изменения /etc/booster.yaml:

/usr/lib/booster/regenerate_images

Сгенерируйте Unified Kernel Image, если ваш дистрибутив предоставляет systemd-ukify:

/usr/lib/booster/regenerate_uki build /boot/EFI/Linux

Пример конфигурации

Booster настроен намеренно минималистично. Для простого зашифрованного ноутбука часто не требуется никакого большого конфигурационного файла. Добавьте только те функции, которые нужны вашему загрузочному пути:

compression: zstd
vconsole: true
enable_fido2: true
enable_lvm: true
enable_mdraid: true

Для удалённой разблокировки через SSH:

network:
  dhcp: on
  ssh_host_key: /etc/booster/ssh_host_ed25519_key
  ssh_authorized_keys: /etc/booster/authorized_keys
  ssh_listen: :22

Для более плавного порядка токенов, когда включено несколько аппаратных методов разблокировки:

serialize_tokens:
  enabled: true
  clevis_timeout: 45s
  tpm2_timeout: 15s
  fido2_timeout: 30s

Для поддержки заставки Plymouth:

enable_plymouth: true
modules_force_load: amdgpu

Используйте quiet splash в командной строке ядра и избегайте booster.log=console, если хотите графическую заставку.

Документация

Полная документация пользователя находится в странице руководства Booster. Она охватывает:

• Параметры /etc/booster.yaml.
• Параметры командной строки ядра.
• Настройку LUKS, FIDO2, TPM2, Clevis, файлов ключей и отделённых заголовков.
• Интеграцию с /etc/crypttab.
• Удалённую разблокировку через SSH.
• GPT-автообнаружение корня.
• Генерацию Unified Kernel Image.
• Отладку и восстановление.

Похожие проекты

Booster находится в той же области, что и mkinitcpio и dracut. Его фокус — быстрый, компактный генератор initramfs на Go с сильной эргономикой зашифрованной загрузки и автоматическим обнаружением хоста.

Сборка из исходников

Проект состоит из трёх основных частей:

• init — программа раннего пользовательского пространства, запускаемая во время загрузки.
• generator — инструмент, создающий образ initramfs.
• tests — QEMU-интеграционные тесты для сгенерированных образов.

Сборка стандартными инструментами Go:

go build ./...

Запуск модульных тестов:

go test ./generator ./init

Запуск полного набора тестов:

go test ./...

Пакет ./tests содержит QEMU-интеграционные тесты и требует, чтобы на хосте были установлены необходимые загрузочные и виртуализационные инструменты.

Благодарности

Работа над этим проектом началась во время хакатона Twitter. Огромное спасибо Twitter за поддержку разработки открытого ПО, и особая благодарность Ian Brown.

Архитектура Booster была вдохновлена distri Михаэля Штапельберга, и начальная версия заимствовала многие идеи из генератора initramfs distri.

Лицензия

См. LICENSE.