„Szyfrowany VPS" to zwrot, którym wiele hostów rzuca, nie mówiąc, przed czym chroni. Wolimy być wprost, bo ludzie, którym na tym zależy, dbają o dokładność. Możesz uruchomić szyfrowany magazyn na VPS — wolumen danych zaszyfrowany LUKS, który odblokowujesz frazą — i naprawdę chroni on twoje dane w spoczynku. Czego nie robi, to uczynienie działającego serwera niewidzialnym dla tego, kto kontroluje fizyczny sprzęt. Oto jego uczciwy kształt i jak go skonfigurować.
Co szyfrowanie na VPS robi — a czego nie
Co jest realne: wolumen LUKS jest szyfrogramem, gdy jest zablokowany. Wyłącz serwer albo po prostu nie odblokowuj wolumenu, a pliki są nieczytelne bez twojej frazy. Dysk wycofany, zobrazowany na zimno albo skonfiskowany wyłączony nie wydaje nic czytelnego. To prawdziwa, warta ochrona — i to powszechne zagrożenie dla większości ludzi (wycofany dysk, snapshot na zimno, przypadkowy dostęp).
Co nie jest: dopóki wolumen jest zamontowany, a serwer działa, klucz szyfrujący jest w RAM, a dostawca obsługuje hypervisor pod twoją VM. Pełne szyfrowanie dysku na jakimkolwiek VPS — naszym czy czyimkolwiek — nie może ochronić działającego, odblokowanego wolumenu przed zdeterminowanym operatorem fizycznej maszyny. Każdy host obiecujący inaczej przesadza. My nie będziemy.
Więc: prawdziwa ochrona w spoczynku, uczciwe granice na żywo. Ten kompromis jest wart tego dla prywatnego magazynu danych, który trzymasz nieczytelny w bezczynności — w parze z rejestracją bez KYC, żeby magazyn od początku nie był powiązany z twoją tożsamością.
Skonfiguruj szyfrowany wolumen LUKS (Ubuntu 24.04)
# encrypt a data file/volume with LUKS; keep the passphrase OFF the server
apt update && apt install -y cryptsetup
# create a 20 GB encrypted container (or point at a raw data disk)
fallocate -l 20G /srv/secure.img
cryptsetup luksFormat /srv/secure.img # sets your passphrase
cryptsetup luksOpen /srv/secure.img secure # unlock → /dev/mapper/secure
mkfs.ext4 /dev/mapper/secure
mkdir -p /mnt/secure && mount /dev/mapper/secure /mnt/secure
# your files live in /mnt/secure — ciphertext once closed
Po restarcie wolumen pozostaje zablokowany, dopóki sam go nie odblokujesz:
cryptsetup luksOpen /srv/secure.img secure # enter passphrase over SSH
mount /dev/mapper/secure /mnt/secure
Nigdy nie przechowuj frazy na serwerze. Odblokowuj ręcznie (albo przekaż ją przez sesję SSH), żeby klucz istniał tylko w pamięci, gdy go używasz. Nie umieszczaj go w skrypcie rozruchowym — to niweczy sens.
Uczciwy zakres, jeszcze raz
- Chroni: dane w spoczynku — wyłączone, przed odblokowaniem, snapshot na zimno, wycofany dysk.
- Nie chroni: działającego, odblokowanego wolumenu przed kimś z kontrolą fizyczną/hypervisora.
- Sam w sobie nie anonimowość: twój serwer wciąż ma publiczne IP i ruch na łączu. Chodzi o poufność danych w spoczynku, w parze z rozliczaniem bez KYC.
Jeśli twój model zagrożeń to nacisk prawny, a nie skradziony dysk, bardziej znaczącym sygnałem jest nasz warrant canary — datowane oświadczenie, że nie mieliśmy tajnych nakazów ani żądań osłabienia bezpieczeństwa, aktualizowane. Canary, które możesz obserwować, bije odznakę szyfrowania, której nie możesz zweryfikować. Zobacz też uczciwy rozkład anonimowego VPS na to, co bez-KYC ci daje, a czego nie.
Dlaczego EQVPS do szyfrowanego magazynu
- Pełny root, więc LUKS i twój przepływ odblokowania są całkowicie twoje — bez depozytu klucza u dostawcy, bez frazy przechowywanej przy rozruchu, chyba że sam ją wybierzesz.
- Bez KYC, płatność w krypto. E-mail do rejestracji, USDC/USDT do zapłaty — magazyn nie jest zespawany z twoją tożsamością.
- UE (Niemcy, Finlandia), prawdziwe prawo o ochronie danych, publiczny warrant canary, root w ~60 sekund.
Anonimowy VPS, bez KYC — uczciwa wersja → · Self-host Vaultwarden (szyfrowany sejf) →
Komentarze
Brak komentarzy. Bądź pierwszy.