छोटा जवाब
बैकअप के लिए क्लाइंट-साइड एन्क्रिप्शन क्या है, और क्या मुझे इसे किराए के सर्वर पर चाहिए?
बैकअप के लिए क्लाइंट-साइड एन्क्रिप्शन का मतलब है कि आपकी मशीन डेटा के बाहर जाने से पहले उसे एन्क्रिप्ट करती है, ऐसी key से जो सर्वर के पास कभी नहीं होती। किराए के सर्वर पर यह ज़रूरी है: ड्राइव बदली जाती हैं, मिटाई जाती हैं और दूसरे लोग उन्हें संभालते हैं। restic, Borg और Proxmox Backup Server — तीनों यह सुविधा देते हैं (दस्तावेज़ 2 November 2026 पढ़े गए)। Basalthold $110.99 से सर्वर किराए पर देता है, सिर्फ़ crypto से, बिना KYC।
हर बैकअप टूल आपकी तरफ़ क्या एन्क्रिप्ट करता है?
| टूल (पढ़ा गया संस्करण) | अपलोड से पहले एन्क्रिप्टेड | साइफ़र | Key कहाँ रहती है |
|---|---|---|---|
| restic 0.19.1 | हमेशा: फ़ाइल की सामग्री और मेटाडेटा, स्थानीय cache तक | AES-256 काउंटर मोड में, Poly1305-AES से प्रमाणित | Key फ़ाइलें repository में, आपके पासवर्ड से scrypt के ज़रिए खुलती हैं |
| Borg 1.4.5 | borg init पर सेट मोड पर निर्भर | AES-CTR-256, HMAC-SHA256 या BLAKE2b के साथ | repokey: repository में; keyfile: क्लाइंट पर |
| Kopia 0.23.1 | हमेशा: सामग्री और फ़ाइल व डायरेक्टरी के नाम | AES-256 या ChaCha20 | उपयोगकर्ता-नियंत्रित keys, आपके repository पासवर्ड के पीछे |
| Proxmox Backup Server 4.2 | क्लाइंट key से बने स्नैपशॉट | AES-256 GCM मोड में | क्लाइंट key फ़ाइल; RSA master key उसे वापस पा सकती है |
| Synology Hyper Backup (DSM 7.4) | क्लाइंट-साइड एन्क्रिप्शन चालू वाले मल्टी-वर्ज़न टास्क | AES-256 और ECC Curve25519 | आपका पासवर्ड और एन्क्रिप्शन key |
| Veeam Backup & Replication 13 | एन्क्रिप्शन चालू वाले जॉब, स्रोत पर ही | 256-बिट AES से लिपटी डेटा keys | कॉन्फ़िगरेशन डेटाबेस, आपके पासवर्ड या KMS के पीछे |
| Nextcloud सर्वर-साइड एन्क्रिप्शन | क्लाइंट पर कुछ नहीं: सर्वर एन्क्रिप्ट करता है | — | सर्वर पर; master key मोड में, admins डिक्रिप्ट कर सकते हैं |
हर प्रोजेक्ट के दस्तावेज़ों से, 2 नवंबर 2026 को पढ़े गए।
किराए के सर्वर पर क्लाइंट-साइड एन्क्रिप्शन क्यों ज़रूरी है?
किराए का सर्वर ऐसी मशीन है जिसे दूसरे लोग छू सकते हैं। ड्राइव खराब होती हैं और बदली जाती हैं: जब कोई ड्राइव फेल हो जाए, तो ticket खोलें: टीम उसे बिना किसी लागत के बदल देती है, और नई ड्राइव पर array दोबारा बनाना आपके सेटअप पर निर्भर है। किराया खत्म होने पर ड्राइव मिटाई जाती हैं: हर सर्वर का भुगतान आपके क्रिप्टो बैलेंस से पहले से किया जाता है, 30 दिन, 3 महीने, 6 महीने या 12 महीने के लिए, जैसा चेकआउट पर चुना गया हो। ऑटो-रीन्यू उसी अवधि के लिए फिर से उसी कीमत पर चार्ज करता है जिससे आपने शुरू किया था, जब तक आप डैशबोर्ड में अगली रीनीव के लिए दूसरी अवधि नहीं चुनते; जब बैलेंस कम पड़ जाता है, तो सर्वर अपनी अवधि के अंत में बंद हो जाता है, उसकी ड्राइव 7 दिन तक रखी जाती हैं और फिर मिटा दी जाती हैं। और जो भी चलते सर्वर में घुस जाता है, वह उसमें साफ़ रखा सब कुछ पढ़ लेता है।
क्लाइंट-साइड एन्क्रिप्शन के साथ, इनमें से कोई भी घटना आपका डेटा सामने नहीं लाती। सर्वर साइफ़रटेक्स्ट रखता है, और key उन्हीं मशीनों पर रहती है जिनका आप बैकअप लेते हैं।
डेटा जहाँ पैदा होता है वहीं एन्क्रिप्ट करें, और सर्वर केवल शोर रखता है।
यह डिस्क एन्क्रिप्शन या सर्वर-साइड एन्क्रिप्शन से कैसे अलग है?
तीन परतों को एन्क्रिप्शन कहा जाता है, और वे अलग-अलग चीज़ों से बचाती हैं।
- सर्वर पर डिस्क एन्क्रिप्शन (LUKS या ZFS native encryption) रेस्ट में पड़ी ड्राइव की रक्षा करता है। Nextcloud का दस्तावेज़ स्थानीय स्टोरेज के लिए LUKS सुझाता है, क्योंकि यह भौतिक सर्वर की चोरी को भी कवर करता है। सर्वर key लोड करके चलने लगे, तो यह कुछ नहीं करता। आप हर डेटा ड्राइव को LUKS या ZFS native encryption से एन्क्रिप्ट कर सकते हैं; चाबियाँ आपके पास ही रहती हैं और टीम का कोई भी व्यक्ति उन्हें कभी नहीं मांगता।
- किसी एप्लिकेशन में सर्वर-साइड एन्क्रिप्शन, जैसे Nextcloud का, keys सर्वर पर रखता है। Nextcloud कहता है कि यह समझौता किए गए सर्वर या दुर्भावनापूर्ण administrator से नहीं बचाता।
- क्लाइंट-साइड एन्क्रिप्शन अपलोड से पहले होता है। सर्वर के पास key कभी नहीं होती, इसलिए समझौता किया गया सर्वर भी केवल साइफ़रटेक्स्ट देखता है।
पहले और तीसरे को साथ इस्तेमाल करें। डिस्क एन्क्रिप्शन को हर boot पर unlock चाहिए; LUKS-एन्क्रिप्टेड किराए के सर्वर को दूर से unlock करना दिखाता है कि यह कैसे होता है।
हर टूल key को कैसे संभालता है?
कुंजी ही बैकअप है। इसे खो दें, और एन्क्रिप्टेड कॉपी आपके लिए भी बेकार हो जाती है।
- restic: आपका पासवर्ड मास्टर कुंजी खोलता है। इसके बिना, रिपॉज़िटरी में कुछ भी पढ़ा नहीं जा सकता।
- Borg:
borg key exportचलाएँ और परिणाम को बैकअप किए गए सिस्टम से दूर रखें। Borg के दस्तावेज़ कहते हैं कि keyfile मोड के लिए उस सिस्टम पर रखी कॉपी पर्याप्त नहीं है। - Proxmox Backup Server: कुंजी फ़ाइल डिफ़ॉल्ट रूप से
~/.config/proxmox-backup/encryption-key.jsonहोती है। एक मास्टर कुंजी जोड़ी हर बैकअप में एक RSA-एन्क्रिप्टेड कॉपी डालती है, औरpaperkeyमास्टर कुंजी को QR कोड के रूप में प्रिंट करता है। 4.2 से, push सिंक जॉब्स स्नैपशॉट को भेजने से पहले एन्क्रिप्ट कर सकते हैं। - Hyper Backup: Synology चेतावनी देता है कि वह खोया हुआ पासवर्ड रिकवर नहीं कर सकता, और इसे खोने का मतलब है स्थायी डेटा हानि।
- Veeam: खोया हुआ पासवर्ड रिस्टोर को रोक देता है, जब तक Enterprise Manager कुंजियाँ इस्तेमाल न की गई हों।
- ZFS replication:
zfs send --rawएन्क्रिप्टेड डेटासेट को वैसे ही भेजता है जैसे वे डिस्क पर हैं। OpenZFS कहता है कि प्राप्त करने वाली मशीन के पास कुंजियाँ कभी नहीं होतीं।
दो सबसे आम टूल्स की तुलना ऑफसाइट बैकअप के लिए restic या Borg पर की गई है।
क्लाइंट-साइड एन्क्रिप्शन क्या नहीं छुपाता?
यह सामग्री और, ज़्यादातर टूल्स के लिए, नाम छुपाता है। यह नहीं छुपाता कि आप कितना स्टोर करते हैं या कब। restic के अपने डिज़ाइन नोट्स कहते हैं कि स्टोरेज तक पहुँच रखने वाला एक पर्यवेक्षक ऑब्जेक्ट टाइमस्टैम्प से बैकअप के आकार का अनुमान लगा सकता है। इसकी कुंजी फ़ाइलें होस्टनेम, यूज़रनेम और निर्माण समय को भी सादे टेक्स्ट में रखती हैं।
आपकी फ़ाइलों पर काम करने वाले एप्लिकेशन, जैसे Nextcloud या Immich, को इंडेक्स, प्रीव्यू और सर्च के लिए उन्हें सर्वर पर स्पष्ट रूप में चाहिए। उनके लिए, सर्वर पर डिस्क एन्क्रिप्शन इस्तेमाल करें, और उनके ऑफसाइट बैकअप के लिए क्लाइंट-साइड एन्क्रिप्शन। एन्क्रिप्शन डिलीशन भी नहीं रोकता: इसे इम्यूटेबल बैकअप के साथ जोड़ें।
अगर होस्ट कहता है कि वह कोई ID नहीं माँगता और कोई लॉग नहीं रखता, तो क्या मुझे अभी भी एन्क्रिप्शन चाहिए?
हाँ, क्योंकि वे अलग-अलग सवालों के जवाब देते हैं। कोई KYC नहीं यह बताता है कि आप कौन हैं; एन्क्रिप्शन बताता है कि आप क्या स्टोर करते हैं।
2 November 2026 को Basalthold जाँचे गए 23 स्टोरेज-सर्वर विक्रेताओं में से, केवल 3 बताते हैं कि वे कोई ID नहीं माँगते। बाकी में से, 12 ट्रिगर्स पर माँगते हैं, 2 डिलीवरी से पहले, और 6 नहीं बताते। हमारी ओर से: कोई KYC नहीं: किसी भी समय कोई ID नहीं, कोई सेल्फ़ी नहीं, कोई दस्तावेज़ नहीं, कोई कार्ड नहीं और कोई फ़ोन नंबर नहीं। कोई लॉग नहीं रखा जाता: कोई कनेक्शन रिकॉर्ड नहीं, कोई ट्रैफ़िक रिकॉर्ड नहीं और वेबसाइट पर, डैशबोर्ड में या सर्वरों पर किसी विज़िटर या ग्राहक का कोई IP पता नहीं।
कोई भी नियम यह नहीं बदलता कि ड्राइव मशीन छोड़ते समय क्या रखती है। किराया खत्म होने के बाद ड्राइव के साथ क्या होता है, वह किराए का स्टोरेज सर्वर कैंसल करने के बाद आपका डेटा पर है। कीमतें होल्ड मूल्य सूची पर हैं।
क्लाइंट-साइड एन्क्रिप्शन के बारे में लोग और क्या पूछते हैं?
क्या Basalthold मेरे एन्क्रिप्टेड बैकअप पढ़ सकता है?
नहीं। क्लाइंट-साइड एन्क्रिप्शन के साथ, सर्वर केवल साइफरटेक्स्ट स्टोर करता है, और कुंजी कभी उस तक नहीं पहुँचती। आप हर डेटा ड्राइव को LUKS या ZFS native encryption से एन्क्रिप्ट कर सकते हैं; चाबियाँ आपके पास ही रहती हैं और टीम का कोई भी व्यक्ति उन्हें कभी नहीं मांगता।
क्या ZFS नेटिव एन्क्रिप्शन क्लाइंट-साइड एन्क्रिप्शन है?
अपने आप से नहीं: सर्वर एन्क्रिप्ट करता है, इसलिए चलने के दौरान कुंजी सर्वर पर लोड होती है। यह end-to-end तब बनता है जब एक NAS zfs send --raw के साथ एन्क्रिप्टेड डेटासेट को रेप्लिकेट करता है: प्राप्त करने वाला सर्वर इसे कुंजी पाए बिना स्टोर करता है।
क्या Nextcloud का एन्क्रिप्शन क्लाइंट-साइड माना जाता है?
नहीं। Nextcloud का सर्वर-साइड एन्क्रिप्शन कुंजियाँ सर्वर पर रखता है, और मास्टर कुंजी मोड में एडमिन कोई भी फ़ाइल डिक्रिप्ट कर सकते हैं। इसके बजाय Nextcloud लोकल स्टोरेज के लिए LUKS जैसे डिस्क एन्क्रिप्शन की सलाह देता है।
अगर मैं एन्क्रिप्शन कुंजी खो दूँ तो क्या होता है?
बैकअप रिस्टोर नहीं किया जा सकता, न आपके द्वारा न किसी और के द्वारा। restic, Borg, Proxmox Backup Server, Hyper Backup और Veeam सभी ऐसा कहते हैं। कुंजी, या उसकी कागज़ी कॉपी, क्लाइंट और सर्वर दोनों से अलग किसी जगह रखें।
क्या मुझे किराए के सर्वर की ड्राइव भी एन्क्रिप्ट करनी चाहिए?
हाँ, वहाँ स्पष्ट रूप में स्टोर किसी भी चीज़ के लिए, जैसे Nextcloud डेटा डायरेक्टरी। डिस्क एन्क्रिप्शन स्वैप और वाइप की गई ड्राइव की रक्षा करता है। क्लाइंट-साइड एन्क्रिप्शन चल रहे सर्वर की रक्षा करता है। हर एक उस कमी को भरता है जो दूसरा छोड़ता है।
एक सर्वर जो आपका साइफरटेक्स्ट स्टोर करता है
Hold 40: AMD Ryzen 5 3600 (6 कोर / 12 थ्रेड), 64 GB DDR4, 4 × 10 TB हार्ड ड्राइव (40 TB रॉ) और सिस्टम के लिए 512 GB NVMe, 1 Gbit/s पोर्ट जिसमें हर 30 दिन में 60 TB ट्रैफ़िक, 1 IPv4 और एक IPv6 /64, $201.09/30 दिन के लिए। क्रिप्टो, कोई KYC नहीं, और आपकी कुंजियाँ आपकी ही रहती हैं।
- DomaineGoat LLC, Panama में रजिस्टर्ड
- 23 स्टोरेज विक्रेताओं में कीमतों का सर्वे, 2 नवंबर 2026
- कोई KYC नहीं, कोई दस्तावेज़ नहीं
- आपकी एन्क्रिप्शन की आपकी ही रहती हैं
स्रोत (10)
- संदर्भ: डिज़ाइन और क्रिप्टोग्राफी — restic documentation (read 2026-11-02)
- borg init: एन्क्रिप्शन मोड (1.4.5) — BorgBackup documentation (read 2026-11-02)
- फ़ीचर्स: एन्क्रिप्शन — Kopia documentation (read 2026-11-02)
- बैकअप क्लाइंट उपयोग: एन्क्रिप्शन pbs.proxmox.com/docs/backup-client.html — Proxmox Backup 4.2 documentation (read 2026-11-02)
- Proxmox Backup Server 4.2 रिलीज़ नोट्स pbs.proxmox.com/wiki/index.php/Roadmap — Proxmox (read 2026-11-02)
- Hyper Backup सॉफ़्टवेयर विनिर्देश (DSM 7.4) — Synology (read 2026-11-02)
- मैं Hyper Backup का उपयोग करके अपना डेटा रिमोट Synology स्टोरेज सिस्टम में कैसे बैकअप करूँ? — Synology Knowledge Center (read 2026-11-02)
- बैकअप डेटा एन्क्रिप्शन कैसे काम करता है (Veeam Backup & Replication 13) — Veeam Help Center (read 2026-11-02)
- सर्वर-साइड एन्क्रिप्शन कॉन्फ़िगरेशन (Nextcloud 35) — Nextcloud Administration Manual (read 2026-11-02)
- zfs-send(8): --raw — OpenZFS (read 2026-11-02)