Booster - 为 Linux 打造的快速、安全、现代的 initramfs

Booster 让早期启动更轻快、更迅速、更可靠。 它构建紧凑的 initramfs 镜像，让你几乎无需费心，就能借助强大的加密启动支持，将 Linux 系统从固件引导至真正的根文件系统。

它不会打包一个庞大的通用早期用户空间，而是探测你的机器实际需要什么，并围绕它构建一个专注的镜像。 最终结果是一个精简的启动镜像，包含宿主机所需的驱动程序、解锁工具、文件系统支持和恢复路径，而不必在每次重启时都背负一大堆用不上的东西。

为什么选择 Booster？

Booster 围绕一个简单的承诺而构建：早期启动应当快速、清晰、安全，并且操作起来令人愉悦。

亮点：

• 用更小的镜像实现更快启动 - 快速生成精简镜像，让早期启动专注于你的系统真正需要完成的工作。
• 让加密 Linux 变得毫不费力 - 通过口令、密钥文件、分离头部（detached headers）、TPM2、FIDO2 安全密钥、Clevis 风格绑定或远程 SSH 解锁来解锁 LUKS 根分区。
• 放心使用现代安全硬件 - 支持 systemd-cryptenroll 的 TPM2 与 FIDO2 token，包括通过 Booster 插件路径提供的原生 FIDO2 支持。
• 享受从容而协调的提示体验 - 硬件 token、PIN 与口令流程协同工作；成功的解锁路径会取消不再需要的提示。
• 获得更顺畅的 FIDO2 启动体验 - Booster 可以在询问 PIN 之前预检已连接的 FIDO2 密钥、静默跳过不匹配的密钥，并在 token 缺失时干净利落地回退。
• 在你管理的任何地方都能解锁系统 - 在早期启动阶段使用 SSH，应对无头、机架式或难以触及的加密机器。
• 避免臃肿的早期用户空间 - 主机专属的发现机制默认只纳入机器所需的内容。
• 构建灵活的救援镜像 - 通用模式为便携安装、恢复介质和可能变化的硬件提供更广的硬件覆盖。
• 覆盖真实的存储布局 - 支持 ext4、Btrfs、ZFS、LVM、mdraid、GPT 自动发现、休眠恢复设备以及多个 LUKS 映射。
• 自信地检查与调试 - 在信任镜像可以启动之前，使用内置命令列出、查看和解包镜像。

Booster 非常适合加密笔记本、开发者工作站、需要远程恢复的服务器、极简 Linux 系统，以及那些在配置多年后仍应保持清晰易懂的启动方案。

功能导览

浑然一体的加密体验

Booster 将全盘加密视为一等公民工作流，而非附加功能。 它可以通过内核参数、/etc/crypttab、GPT 自动发现、直接指向 LUKS 容器的 root= 引用、密钥文件、分离头部以及硬件 token 来解锁 LUKS 设备。

支持的解锁方式包括：

• 普通口令解锁，并配有细致的提示处理。
• 为相关加密卷提供共享口令缓存。
• 密钥文件可嵌入 initramfs，或存储于独立设备上。
• 分离 LUKS 头部可嵌入镜像中、从原始块设备读取，或从独立文件系统加载。
• systemd-cryptenroll TPM2 与 FIDO2 token。
• 面向 TPM2、Tang 及其他受支持策略的 Clevis 风格绑定。
• 基于 SSH 的远程口令解锁，适用于无法物理接触的系统。

毫无毛刺的硬件 Token 体验

Booster 的 token 编排旨在让加密启动体验更加精致。 非交互式 token 可以在后台并行推进，基于 PIN 的 token 按确定性顺序提示输入，常规口令提示则作为回退方案出现，而不会永久阻塞整个启动流程。

最近的 FIDO2 改进让体验更加顺畅：

• 通过 enable_fido2: true 即可启用原生 FIDO2 支持。
• 带有 fido2-device= 的 crypttab 条目可让 Booster 自动打包 FIDO2 插件。
• Booster 可以在询问 PIN 之前检查已连接的 FIDO2 密钥是否确实拥有相应凭据。
• 缺失 token 的提示会被延迟，以便快速的 TPM2、Clevis 或其他 token 解锁能在没有多余干扰的情况下完成。
• 提交空的 PIN 会跳过当前 token 并继续下一条解锁路径。

贴合机器的小巧镜像

默认情况下，Booster 构建的是主机专属镜像。 它会检查当前系统，纳入启动所需的模块与工具，并剔除不必要的部分。 这使镜像更易于审计、生成更快，启动时执行也更快。

当你需要更通用的镜像时，--universal 会纳入更广泛的模块集合，适用于恢复场景、便携介质或硬件可能发生变化的系统。

用户真正在用的存储布局

Booster 支持实际场景中的常见启动布局，包括：

• 可通过 GPT 自动发现的根分区。
• 根文件系统位于 LUKS、LVM、mdraid、Btrfs、ZFS、NVMe、USB、MMC 与 eMMC 之上。
• Btrfs 子卷与多设备 Btrfs 配置。
• 休眠恢复设备。
• 通过 UUID=、LABEL=、PARTUUID=、PARTLABEL=、HWPATH=、WWID= 或 /dev/... 引用设备。
• 来自内核命令行或 /etc/crypttab 的多个加密映射。

更好的早期启动可见性

当出现问题时，Booster 会为你提供有用的方式来查看发生了什么。 使用 booster.log=debug,console 获取详细的启动日志，添加 busybox 以获得紧急 shell，或启用网络支持来从无法启动的机器上取回日志。

Booster 还内置了镜像检查命令，让你可以在重启前验证构建出的内容：

booster ls /boot/booster-linux.img
booster cat /boot/booster-linux.img /init
booster unpack /boot/booster-linux.img /tmp/booster-image

安装

Arch Linux

安装官方软件包：

pacman -S booster

该软件包会在 /boot/ 中创建 Booster 镜像：

$ ls -lh /boot/booster-*.img
-rwxr-xr-x 1 root root 3.9M Dec 10 20:51 /boot/booster-linux.img

Void Linux

使用以下命令安装 Booster：

xbps-install -S booster

然后为已安装的内核重新生成 initramfs：

xbps-reconfigure -f linux

Alpine Linux

使用以下命令安装 Booster：

apk add booster

然后阅读 /usr/share/doc/booster/README.alpine，获取针对该发行版的引导加载程序配置说明。

手动构建

你也可以直接构建镜像：

booster build /boot/booster-linux.img

如需更便携、硬件覆盖更广的镜像：

booster build --universal /boot/booster-linux.img

创建镜像后，将你的引导加载程序指向它。 完整的配置细节请参阅 Booster 手册页。

快速入门

创建主机专属镜像：

booster build booster.img

为特定内核创建镜像：

booster build --kernel-version 6.8.9-arch1-1 /boot/booster-linux.img

检查生成的镜像：

booster ls /boot/booster-linux.img

修改 /etc/booster.yaml 后，重新生成已打包的镜像：

/usr/lib/booster/regenerate_images

当你的发行版提供 systemd-ukify 时，生成统一内核镜像（Unified Kernel Image）：

/usr/lib/booster/regenerate_uki build /boot/EFI/Linux

配置示例

Booster 的配置刻意保持精简。 一台简单的加密笔记本通常完全不需要大型配置文件。 只添加你的启动路径所需的功能即可：

compression: zstd
vconsole: true
enable_fido2: true
enable_lvm: true
enable_mdraid: true

如需通过 SSH 远程解锁：

network:
  dhcp: on
  ssh_host_key: /etc/booster/ssh_host_ed25519_key
  ssh_authorized_keys: /etc/booster/authorized_keys
  ssh_listen: :22

当登记了多种硬件解锁方式时，如需更顺畅的 token 顺序：

serialize_tokens:
  enabled: true
  clevis_timeout: 45s
  tpm2_timeout: 15s
  fido2_timeout: 30s

如需 Plymouth 启动画面支持：

enable_plymouth: true
modules_force_load: amdgpu

在内核命令行中使用 quiet splash；如需图形化启动界面，请避免使用 booster.log=console。

文档

完整的用户文档位于 Booster 手册页。 其中涵盖：

• /etc/booster.yaml 选项。
• 内核命令行参数。
• LUKS、FIDO2、TPM2、Clevis、密钥文件与分离头部的配置。
• /etc/crypttab 集成。
• 通过 SSH 远程解锁。
• GPT 根分区自动发现。
• 统一内核镜像生成。
• 调试与恢复。

类似项目

Booster 与 mkinitcpio 和 dracut 处于同一问题领域。 它的重点是打造一个快速、紧凑、基于 Go 的 initramfs 生成器，具备出色的加密启动易用性和自动主机发现能力。

从源码构建

该项目由三个主要部分组成：

• init - 启动期间运行的早期用户空间程序。
• generator - 构建 initramfs 镜像的工具。
• tests - 基于 QEMU 的生成镜像集成测试。

使用标准 Go 工具链构建：

go build ./...

运行单元测试：

go test ./generator ./init

运行完整测试套件：

go test ./...

./tests 包包含 QEMU 集成测试，要求宿主机已安装所需的启动与虚拟化工具。

致谢

该项目的工作始于 Twitter 的黑客周期间。 衷心感谢 Twitter 对开源开发的支持，并特别感谢 Ian Brown。

Booster 的架构受到了 Michael Stapelberg 的 distri 的启发，初始版本也借鉴了 distri 的 initramfs 生成器的许多设计思路。

许可证

参见 LICENSE。