Czym jest szyfrowanie po stronie klienta dla kopii zapasowych i czy potrzebuję go na wynajętym serwerze?

Dlaczego wynajęty serwer wymaga szyfrowania po stronie klienta?

Wynajęty serwer to maszyna, do której dostęp mają inne osoby. Dyski zawodzą i są wymieniane: Gdy dysk ulegnie awarii, otwórz zgłoszenie: zespół wymieni go bez dodatkowych kosztów, a odbudowa macierzy na nowym dysku zależy od Twojej konfiguracji. Dyski są czyszczone, gdy najem się kończy: Każdy serwer jest opłacany z góry z Twojego salda kryptowalutowego, na 30 dni, 3 miesiące, 6 miesięcy lub 12 miesięcy, zgodnie z wyborem przy płatności. Automatyczne odnowienie pobiera ponownie tę samą długość po cenie, od której zacząłeś, chyba że w panelu ustawisz inną długość na kolejne odnowienie; gdy saldo nie wystarcza, serwer zatrzymuje się z końcem terminu, jego dyski są przechowywane przez 7 dni, a następnie czyszczone. A każdy, kto włamie się do działającego serwera, odczyta wszystko, co przechowuje, w postaci jawnej.

Dzięki szyfrowaniu po stronie klienta żadne z tych zdarzeń nie ujawnia Twoich danych. Serwer przechowuje szyfrogram, a klucz pozostaje na maszynach, na których tworzysz kopię zapasową.

Szyfruj tam, gdzie dane powstają, a serwer będzie przechowywał wyłącznie szum.

Czym różni się to od szyfrowania dysku lub szyfrowania po stronie serwera?

Trzy warstwy nazywa się szyfrowaniem, a każda chroni przed czymś innym.

• Szyfrowanie dysku na serwerze (LUKS lub natywne szyfrowanie ZFS) chroni dyski w spoczynku. Dokumentacja Nextcloud sugeruje LUKS dla pamięci lokalnej, ponieważ obejmuje ono także kradzież fizycznego serwera. Nie daje nic, gdy serwer działa z załadowanym kluczem. Możesz zaszyfrować każdy dysk danych za pomocą LUKS lub natywnego szyfrowania ZFS; klucze pozostają u Ciebie i nikt z zespołu nigdy o nie nie prosi.
• Szyfrowanie po stronie serwera w aplikacji, takie jak w Nextcloud, pozostawia klucze na serwerze. Nextcloud podaje, że nie chroni ono przed przejęciem serwera ani przed złośliwym administratorem.
• Szyfrowanie po stronie klienta odbywa się przed przesłaniem. Serwer nigdy nie przechowuje klucza, więc przejęty serwer nadal widzi tylko szyfrogram.

Używaj pierwszej i trzeciej warstwy razem. Szyfrowanie dysku wymaga odblokowania przy każdym rozruchu; zdalne odblokowanie wynajętego serwera zaszyfrowanego LUKS pokazuje, jak to zrobić.

Jak każde narzędzie obsługuje klucz?

Klucz to kopia zapasowa. Jeśli go zgubisz, zaszyfrowana kopia stanie się bezwartościowa także dla Ciebie.

• restic: Twoje hasło otwiera klucz główny. Bez niego nic z repozytorium nie da się odczytać.
• Borg: uruchom borg key export i trzymaj wynik z dala od systemu objętego kopią zapasową. Dokumentacja Borga mówi, że kopia na tym systemie nie wystarcza w trybie keyfile.
• Proxmox Backup Server: plik klucza domyślnie znajduje się w ~/.config/proxmox-backup/encryption-key.json. Para kluczy głównych umieszcza w każdej kopii zapasowej kopię zaszyfrowaną RSA, a paperkey wyświetla klucz główny jako kod QR. Od wersji 4.2 zadania synchronizacji push mogą szyfrować snapshoty przed ich wysłaniem.
• Hyper Backup: Synology ostrzega, że nie może odzyskać utraconego hasła, a jego utrata oznacza trwałą utratę danych.
• Veeam: utracone hasło blokuje przywracanie, chyba że użyto kluczy Enterprise Manager.
• Replikacja ZFS: zfs send --raw wysyła zaszyfrowane datasety w takiej postaci, w jakiej są na dysku. OpenZFS mówi, że maszyna odbierająca nigdy nie ma kluczy.

Dwa najczęściej używane narzędzia porównano w restic czy Borg do kopii zapasowych poza siedzibą.

Czego nie ukrywa szyfrowanie po stronie klienta?

Ukrywa treść, a w przypadku większości narzędzi także nazwy. Nie ukrywa jednak, ile przechowujesz ani kiedy. Same założenia projektowe restic mówią, że obserwator mający dostęp do magazynu może wywnioskować rozmiary kopii zapasowych z znaczników czasu obiektów. Pliki kluczy przechowują też nazwę hosta, nazwę użytkownika i czas utworzenia w postaci jawnej.

Aplikacje, które pracują na Twoich plikach, takie jak Nextcloud czy Immich, potrzebują ich w postaci jawnej na serwerze, aby indeksować, generować podglądy i wyszukiwać. W ich przypadku użyj szyfrowania dysku na serwerze, a szyfrowania po stronie klienta do ich kopii zapasowych poza siedzibą. Szyfrowanie nie powstrzymuje też usuwania: połącz je z niezmiennymi kopiami zapasowymi.

Czy nadal potrzebuję szyfrowania, jeśli host nie prosi o dowód tożsamości i nie prowadzi logów?

Tak, bo odpowiadają one na różne pytania. Brak KYC dotyczy tego, kim jesteś; szyfrowanie dotyczy tego, co przechowujesz.

Spośród 23 sprzedawców serwerów do przechowywania danych, których sprawdziliśmy Basalthold na dzień 2 November 2026, tylko 3 podaje, że nie prosi o dowód tożsamości. Z pozostałych 12 prosi przy określonych zdarzeniach, 2 przed dostawą, a 6 tego nie podaje. Po naszej stronie: Bez KYC: żadnego dowodu, żadnego selfie, żadnych dokumentów, żadnej karty i żadnego numeru telefonu, na żadnym etapie. Nie prowadzimy logów: żadnych zapisów połączeń, żadnych zapisów ruchu i żadnych adresów IP odwiedzających ani klientów, na stronie internetowej, w panelu ani na serwerach.

Żadna z tych reguł nie zmienia tego, co zawiera dysk, gdy opuszcza maszynę. Co dzieje się z dyskami po zakończeniu wynajmu, opisano w Twoje dane po anulowaniu wynajętego serwera do przechowywania danych. Ceny są w cenniku przechowywania danych.