VPS pentru stocare criptată (LUKS, cinstit despre limite)

„VPS criptat” e o expresie pe care multe hosturi o aruncă fără să spună împotriva a ce protejează. Preferăm să fim direcți, pentru că oamenii cărora le pasă de asta țin la precizie. Poți rula stocare criptată pe un VPS — un volum de date criptat cu LUKS, pe care îl deblochezi cu o parolă — și chiar îți protejează datele în repaus. Ce nu face e să facă un server pornit invizibil pentru cine controlează hardware-ul fizic. Iată forma cinstită a lucrurilor și cum o configurezi.

Ce face și ce nu face criptarea pe un VPS

Ce e real: un volum LUKS e text cifrat cât e blocat. Oprește serverul sau pur și simplu nu debloca volumul, iar fișierele nu pot fi citite fără parola ta. Un disc scos din uz, copiat la rece sau confiscat cât e oprit nu predă nimic lizibil. E o protecție reală, care merită — și acoperă amenințarea obișnuită pentru majoritatea oamenilor (un disc retras, o copie la rece, acces ocazional).

Ce nu e: cât timp volumul e montat și serverul rulează, cheia de criptare e în RAM, iar furnizorul operează hypervisorul de sub VM-ul tău. Criptarea completă a discului pe orice VPS — al nostru sau al oricui — nu poate proteja un volum pornit și deblocat de un operator hotărât al mașinii fizice. Orice host care promite altceva exagerează. Noi nu o facem.

Deci: protecție reală în repaus, limite cinstite cât rulează. Schimbul merită pentru un depozit de date privat pe care îl ții ilizibil când nu e folosit — combinat cu înregistrarea fără KYC, ca depozitul să nu fie legat de identitatea ta de la bun început.

Configurează un volum criptat LUKS (Ubuntu 24.04)

# encrypt a data file/volume with LUKS; keep the passphrase OFF the server
apt update && apt install -y cryptsetup

# create a 20 GB encrypted container (or point at a raw data disk)
fallocate -l 20G /srv/secure.img
cryptsetup luksFormat /srv/secure.img        # sets your passphrase
cryptsetup luksOpen  /srv/secure.img secure  # unlock → /dev/mapper/secure
mkfs.ext4 /dev/mapper/secure
mkdir -p /mnt/secure && mount /dev/mapper/secure /mnt/secure
# your files live in /mnt/secure — ciphertext once closed

După o repornire, volumul rămâne blocat până îl deblochezi tu:

cryptsetup luksOpen /srv/secure.img secure   # enter passphrase over SSH
mount /dev/mapper/secure /mnt/secure

Nu stoca niciodată parola pe server. Deblochează manual (sau trimite-o prin sesiunea SSH), ca cheia să existe doar în memorie, cât o folosești. N-o pune într-un script de pornire — asta anulează tot rostul.

Scopul, încă o dată, cinstit

• Protejează: datele în repaus — oprit, înainte de deblocare, copie la rece, disc retras.
• Nu protejează: un volum pornit și deblocat față de cineva cu control fizic/asupra hypervisorului.
• Nu e anonimat în sine: serverul tău are în continuare un IP public și trafic pe fir. E vorba de confidențialitatea datelor în repaus, combinată cu facturarea fără KYC.

Dacă modelul tău de amenințare e presiunea legală, nu un disc furat, semnalul mai important e warrant canary al nostru — o declarație datată că n-am avut ordine secrete sau cereri de a slăbi securitatea, ținută la zi. Un canary pe care îl poți urmări bate o insignă de criptare pe care n-o poți verifica. Vezi și analiza cinstită a VPS-ului anonim, despre ce îți dă și ce nu îți dă lipsa KYC.

De ce EQVPS pentru stocare criptată

• Root complet, deci LUKS și fluxul de deblocare sunt în întregime ale tale — fără chei păstrate de furnizor, fără parolă stocată la pornire, decât dacă alegi tu asta.
• Fără KYC, plată cripto. E-mail la înregistrare, USDC/USDT la plată — depozitul nu e sudat de identitatea ta.
• UE, o lege reală a protecției datelor, un warrant canary public, root în ~60 de secunde.

VPS anonim, fără KYC — versiunea cinstită → · Găzduiește Vaultwarden (seif criptat) →

Criptarea completă a discului pe un VPS: ce protejează de fapt →

Cum faci backup unui VPS cu restic (criptat, în afara serverului) →