Pot cripta sistemul de fișiere root al unui VPS?

Tehnic, da, dar atunci serverul așteaptă o parolă la fiecare pornire. Ai tasta-o în consola web sau ai configura un mic server SSH în initramfs. Merge, e fragil și protejează puțin în plus — criptarea unui volum de date separat îți dă cea mai mare parte din beneficiu, cu mult mai puțină bătaie de cap.

Ce e mai bun decât criptarea discului pentru datele sensibile?

Criptarea datelor înainte să fie scrise sau salvate în backup: backup-uri criptate cu restic, fișiere criptate cu age sau GPG, criptare la nivel de aplicație pentru secrete. Protecția asta călătorește cu datele oriunde sunt copiate.

Sunt criptate backup-urile EQVPS?

Da — Backup-urile administrate sunt criptate înainte să părăsească hostul serverului și rămân criptate în stocare. Sunt criptate însă cu cheia noastră, pentru că trebuie să le putem restaura. Pentru datele pe care trebuie să le poți citi doar tu, criptează-le singur întâi.

Ce se întâmplă dacă pierd parola LUKS?

Datele sunt pierdute. Nu există cale de recuperare — tocmai ăsta e rostul criptării. Păstrează parola într-un manager de parole și adaugă un al doilea slot de cheie, ca rezervă.

Criptarea completă a discului pe un VPS: ce protejează de fapt

Q: Protejează criptarea completă a discului un VPS pornit?

Nu. Cât rulează serverul, discul e deblocat, iar cheia stă în RAM. Oricine controlează mașina-gazdă poate, în principiu, să citească memoria aceea. Criptarea protejează datele în repaus: o imagine de disc copiată, o copie veche, un disc retras.

O căutare după „VPS axat pe intimitate, cu criptare completă a discului” se termină de obicei la o căsuță de bifat pe o pagină de prețuri. Căsuța e reală, dar ce cumpără e mai îngust decât sugerează marketingul. Înainte să criptezi ceva, ajută să fii precis despre de cine protejezi datele — pentru că, într-un caz important, criptarea discului nu face absolut nimic.

Ce protejează criptarea pe un VPS — și ce nu

Un VPS e o mașină virtuală pe hardware-ul altcuiva. Cât rulează, discul e deblocat, iar cheia de criptare stă în memoria VM-ului. Mașina-gazdă poate, în principiu, să citească memoria aceea. Deci:

Criptarea ajută împotriva:

Unei copii a imaginii discului care ajunge unde n-ar trebui.
Discurilor vechi retrase după o înlocuire de hardware.
Cuiva care obține acces la stocare sau la backup-uri fără acces la serverul tău pornit.

Criptarea nu ajută împotriva:

Oricui controlează hostul care rulează.
Unui atacator care obține un shell pe serverul tău — pentru el, discul e deja deblocat.
Cererilor legale primite cât serverul e pornit.

Nu e un motiv s-o sari. E un motiv s-o folosești pentru treaba potrivită și să n-o confunzi cu invizibilitatea.

De ce să nu criptezi tot discul root?

Poți, dar atunci fiecare repornire se oprește la un prompt de parolă. L-ai debloca prin consola web sau ai construi un server SSH în initramfs (dropbear) și l-ai debloca de la distanță. Actualizările de kernel cer acum prezența ta; o repornire nesupravegheată înseamnă întrerupere până te autentifici. Pentru cei mai mulți oameni, compromisul mai bun e: discul de sistem ca de obicei, datele sensibile pe un volum criptat pe care îl deblochezi după pornire.

Configurează un seif criptat în cinci comenzi

Un container LUKS într-un fișier merge pe orice VPS — fără disc suplimentar:

apt install -y cryptsetup
fallocate -l 10G /srv/vault.img
cryptsetup luksFormat /srv/vault.img          # set a strong passphrase
cryptsetup open /srv/vault.img vault
mkfs.ext4 /dev/mapper/vault

Montează-l și folosește-l:

mkdir -p /mnt/vault && mount /dev/mapper/vault /mnt/vault

După o repornire, seiful rămâne blocat până îl deschizi din nou:

cryptsetup open /srv/vault.img vault && mount /dev/mapper/vault /mnt/vault

Adaugă o a doua parolă, ca cheie de rezervă (cryptsetup luksAddKey /srv/vault.img), și păstrează-le pe amândouă într-un manager de parole. Dacă le pierzi, datele sunt pierdute pentru totdeauna — niciun tichet la suport nu le poate aduce înapoi.

Îndreaptă serviciile sensibile spre /mnt/vault (directorul unei baze de date, stocarea documentelor, folderul de date al unui manager de parole) și fă-le să pornească doar după ce seiful e montat.

Adesea mai bine: criptează datele, nu discul

Criptarea discului se oprește la disc. Datele pe care le copiezi în altă parte — backup-uri, exporturi, sincronizări — călătoresc necriptate, dacă nu le criptezi și pe ele. Protecția care urmează datele valorează de obicei mai mult:

Backup-uri: restic criptează totul pe partea clientului, înainte de încărcare.
Fișiere: age -p secrets.tar > secrets.tar.age criptează cu o parolă.
Secrete în aplicații: folosește criptarea proprie a aplicației (mulți manageri de parole, criptarea pe server din Nextcloud, criptarea coloanelor din baza de date).

Cum arată asta la EQVPS

Nu cerem act de identitate, nu-ți vindem datele și publicăm un warrant canary. Backup-urile administrate sunt criptate înainte să părăsească hostul și rămân criptate în stocare — dar cu cheia noastră, pentru că un backup pe care nu-l putem restaura nu e un backup. Dacă ai nevoie de date pe care nu le poate citi nimeni în afară de tine, criptează-le singur înainte să atingă discul. Asta e valabil pe orice server, inclusiv pe al nostru.

Concluzia

Criptează un volum de date pentru orice ai urî să vezi într-o imagine de disc scursă. Criptează backup-urile la sursă. Și nu lăsa o căsuță de bifat să te convingă că un server virtual pornit e un seif — cea mai puternică unealtă de intimitate pe care o ai e să nu păstrezi datele de care nu ai nevoie.