Che cos'è la cifratura lato client per i backup e mi serve su un server in affitto?

Perché un server noleggiato richiede la cifratura lato client?

Un server che noleggi è una macchina che altre persone possono toccare. I dischi si guastano e vengono sostituiti: Quando un disco si guasta, apri un ticket: il team lo sostituisce senza costi, e la ricostruzione dell'array sul nuovo disco spetta alla tua configurazione. I dischi vengono cancellati quando un noleggio finisce: Ogni server viene pagato in anticipo dal tuo saldo in criptovalute, per 30 giorni, 3 mesi, 6 mesi o 12 mesi come scelto al checkout. Il rinnovo automatico addebita di nuovo la stessa durata al prezzo con cui hai iniziato, a meno che tu non imposti un'altra durata per il rinnovo successivo nella dashboard; quando il saldo non basta, il server si ferma alla fine del suo periodo, i suoi dischi vengono conservati per 7 giorni e poi cancellati. E chiunque entri nel server in funzione legge in chiaro tutto ciò che contiene.

Con la cifratura lato client, nessuno di questi eventi espone i tuoi dati. Il server memorizza testo cifrato, e la chiave resta sulle macchine di cui fai il backup.

Cifra dove nascono i dati, e il server memorizzerà sempre e solo rumore.

In cosa è diversa dalla cifratura del disco o dalla cifratura lato server?

Tre livelli vengono chiamati cifratura, e proteggono da cose diverse.

• La cifratura del disco sul server (LUKS o cifratura nativa ZFS) protegge i dischi a riposo. La documentazione di Nextcloud suggerisce LUKS per lo storage locale, perché copre anche il furto del server fisico. Non fa nulla quando il server gira con la chiave caricata. Puoi cifrare ogni disco dati con LUKS o la crittografia nativa di ZFS; le chiavi restano con te e nessuno del team te le chiede mai.
• La cifratura lato server in un'applicazione, come quella di Nextcloud, tiene le chiavi sul server. Nextcloud dice che non protegge da un server compromesso o da un amministratore malevolo.
• La cifratura lato client avviene prima del caricamento. Il server non possiede mai la chiave, quindi un server compromesso vede comunque solo testo cifrato.

Usa la prima e la terza insieme. La cifratura del disco richiede uno sblocco a ogni avvio; sbloccare da remoto un server noleggiato cifrato con LUKS mostra come fare.

Come gestisce ciascuno strumento la chiave?

La chiave è il backup. Se la perdi, la copia cifrata è inutile anche per te.

• restic: la tua password apre la master key. Senza, niente nel repository può essere letto.
• Borg: esegui borg key export e tieni il risultato lontano dal sistema di cui fai il backup. La documentazione di Borg dice che una copia su quel sistema non basta per la modalità keyfile.
• Proxmox Backup Server: il file della chiave per impostazione predefinita è ~/.config/proxmox-backup/encryption-key.json. Una coppia di master key mette una copia cifrata con RSA in ogni backup, e paperkey stampa la master key come codice QR. Dalla 4.2, i push sync job possono cifrare gli snapshot prima di inviarli.
• Hyper Backup: Synology avverte che non può recuperare una password persa, e perderla significa perdita permanente dei dati.
• Veeam: una password persa blocca i ripristini, a meno che non siano state usate le chiavi di Enterprise Manager.
• Replica ZFS: zfs send --raw invia i dataset cifrati così come sono sul disco. OpenZFS dice che la macchina ricevente non ha mai le chiavi.

I due strumenti più comuni sono confrontati su restic o Borg per i backup offsite.

Cosa non nasconde la crittografia lato client?

Nasconde i contenuti e, per la maggior parte degli strumenti, i nomi. Non nasconde quanto archivi né quando. Le stesse note di progettazione di restic dicono che un osservatore con accesso allo storage può dedurre le dimensioni dei backup dai timestamp degli oggetti. I suoi file di chiave tengono anche hostname, username e ora di creazione in chiaro.

Le applicazioni che lavorano sui tuoi file, come Nextcloud o Immich, li necessitano in chiaro sul server per indicizzare, generare anteprime e cercare. Per quelle, usa la cifratura del disco sul server e la crittografia lato client per i loro backup offsite. La crittografia non ferma nemmeno la cancellazione: abbinala a backup immutabili.

Mi serve ancora la crittografia se l'host non chiede documenti e non tiene log?

Sì, perché rispondono a domande diverse. Il senza KYC riguarda chi sei; la crittografia riguarda cosa archivi.

Su 23 venditori di server di storage Basalthold controllati il 2 November 2026, solo 3 dichiarano di non chiedere documenti. Degli altri, 12 li chiedono a trigger, 2 prima della consegna e 6 non lo dicono. Da parte nostra: Nessun KYC: nessun documento d'identità, nessun selfie, nessun documento, nessuna carta e nessun numero di telefono, in nessun momento. Non vengono conservati log: nessun registro delle connessioni, nessun registro del traffico e nessun indirizzo IP di visitatori o clienti, né sul sito, né nella dashboard, né sui server.

Nessuna delle due regole cambia cosa contiene un disco quando esce dalla macchina. Cosa succede ai dischi dopo la fine di un noleggio è su i tuoi dati dopo che disdici un server di storage noleggiato. I prezzi sono su il listino hold.