Wat is client-side encryption voor back-ups, en heb ik het nodig op een gehuurde server?

Waarom heeft een gehuurde server client-side encryptie nodig?

Een server die je huurt is een machine die andere mensen kunnen aanraken. Schijven falen en worden vervangen: Wanneer een schijf uitvalt, open je een ticket: het team vervangt hem kosteloos, en het opnieuw opbouwen van de array op de nieuwe schijf is aan jouw setup. Schijven worden gewist wanneer een huurperiode eindigt: Elke server wordt vooraf betaald van je crypto-saldo, voor 30 dagen, 3 maanden, 6 maanden of 12 maanden, zoals je bij het afrekenen kiest. Auto-renew rekent opnieuw dezelfde looptijd af tegen de prijs waarmee je bent begonnen, tenzij je in het dashboard een andere looptijd instelt voor de volgende verlenging; als het saldo niet toereikend is, stopt de server aan het einde van de looptijd, blijven de schijven 7 dagen bewaard en worden ze daarna gewist. En iedereen die inbreekt op de draaiende server leest alles wat erin staat in klare tekst.

Met client-side encryptie legt geen van die gebeurtenissen je gegevens bloot. De server bewaart ciphertext, en de sleutel blijft op de machines die je back-upt.

Versleutel waar de gegevens ontstaan, en de server bewaart alleen ruis.

Hoe verschilt het van schijfversleuteling of server-side encryptie?

Drie lagen worden encryptie genoemd, en ze beschermen tegen verschillende dingen.

• Schijfversleuteling op de server (LUKS of ZFS native encryption) beschermt schijven in rust. De documentatie van Nextcloud raadt LUKS aan voor lokale opslag, omdat het ook diefstal van de fysieke server dekt. Het doet niets zodra de server draait met de sleutel geladen. Je kunt elke dataschijf versleutelen met LUKS of native ZFS-encryptie; de sleutels blijven bij jou en niemand in het team vraagt er ooit naar.
• Server-side encryptie in een applicatie, zoals die van Nextcloud, houdt de sleutels op de server. Nextcloud zegt dat het niet beschermt tegen een gecompromitteerde server of een kwaadwillende beheerder.
• Client-side encryptie gebeurt vóór upload. De server heeft de sleutel nooit in handen, dus een gecompromitteerde server ziet nog steeds alleen ciphertext.

Gebruik de eerste en de derde samen. Schijfversleuteling vereist een ontgrendeling bij elke boot; een LUKS-versleutelde gehuurde server op afstand ontgrendelen laat zien hoe.

Hoe gaat elke tool met de sleutel om?

De sleutel is de back-up. Raak je hem kwijt, dan is de versleutelde kopie ook voor jou waardeloos.

• restic: je wachtwoord opent de mastersleutel. Zonder dat wachtwoord valt er niets in de repository te lezen.
• Borg: voer borg key export uit en bewaar het resultaat buiten het systeem dat je back-upt. De documentatie van Borg zegt dat een kopie op dat systeem niet genoeg is voor keyfile-modus.
• Proxmox Backup Server: het sleutelbestand staat standaard op ~/.config/proxmox-backup/encryption-key.json. Een mastersleutelpaar zet een RSA-versleutelde kopie in elke back-up, en paperkey print de mastersleutel als QR-code. Sinds 4.2 kunnen push-syncjobs snapshots versleutelen voordat ze worden verzonden.
• Hyper Backup: Synology waarschuwt dat het een verloren wachtwoord niet kan herstellen, en verlies ervan betekent permanent dataverlies.
• Veeam: een verloren wachtwoord blokkeert restores, tenzij Enterprise Manager-sleutels zijn gebruikt.
• ZFS-replicatie: zfs send --raw verstuurt versleutelde datasets zoals ze op schijf staan. OpenZFS zegt dat de ontvangende machine nooit de sleutels heeft.

De twee meest gebruikte tools worden vergeleken op restic of Borg voor offsite back-ups.

Wat verbergt client-side encryption niet?

Het verbergt inhoud en, bij de meeste tools, namen. Het verbergt niet hoeveel je opslaat of wanneer. De eigen ontwerpnotities van restic zeggen dat een waarnemer met toegang tot de opslag back-upgroottes kan afleiden uit object-timestamps. De sleutelbestanden bewaren ook de hostname, gebruikersnaam en aanmaaktijd in platte tekst.

Applicaties die op je bestanden werken, zoals Nextcloud of Immich, hebben ze leesbaar op de server nodig om te indexeren, previews te maken en te zoeken. Gebruik daarvoor schijfversleuteling op de server, en client-side encryption voor hun offsite back-ups. Versleuteling stopt ook verwijdering niet: combineer het met onveranderlijke back-ups.

Heb ik nog versleuteling nodig als de host geen ID vraagt en geen logs bijhoudt?

Ja, want ze beantwoorden verschillende vragen. Geen KYC dekt wie je bent; versleuteling dekt wat je opslaat.

Van 23 verkopers van storage-servers die Basalthold op 2 November 2026 hebben gecheckt, zeggen er maar 3 dat ze geen ID vragen. Van de rest vragen 12 erom bij triggers, 2 vóór levering, en 6 zeggen het niet. Aan onze kant: Geen KYC: geen ID, geen selfie, geen documenten, geen kaart en geen telefoonnummer, op geen enkel moment. Er worden geen logs bijgehouden: geen verbindingsgegevens, geen verkeersgegevens en geen IP-adressen van bezoekers of klanten, niet op de website, niet in het dashboard en niet op de servers.

Geen van beide regels verandert wat een schijf bevat wanneer hij de machine verlaat. Wat er met schijven gebeurt nadat een verhuur eindigt, staat op je data nadat je een gehuurde storage-server opzegt. Prijzen staan op de prijslijst voor hold.