คำตอบสั้น
การเข้ารหัสฝั่งไคลเอนต์สำหรับการสำรองข้อมูลคืออะไร และฉันจำเป็นต้องใช้บนเซิร์ฟเวอร์ที่เช่าหรือไม่?
การเข้ารหัสฝั่งไคลเอนต์สำหรับการสำรองข้อมูลหมายความว่าเครื่องของคุณเข้ารหัสข้อมูลก่อนที่ข้อมูลจะออกจากเครื่อง โดยใช้คีย์ที่เซิร์ฟเวอร์ไม่เคยถือไว้ บนเซิร์ฟเวอร์ที่เช่า คุณจำเป็นต้องมีมัน เพราะไดรฟ์ถูกสลับ ถูกล้างข้อมูล และถูกจัดการโดยคนอื่น restic, Borg และ Proxmox Backup Server ล้วนมีให้ใช้ (อ่านเอกสารได้ที่ 2 November 2026) Basalthold ให้เช่าเซิร์ฟเวอร์จาก US$110.99 จ่ายด้วยคริปโตเท่านั้น ไม่ต้อง KYC
แต่ละเครื่องมือสำรองข้อมูลเข้ารหัสอะไรฝั่งคุณ?
| เครื่องมือ (เวอร์ชันที่อ่าน) | เข้ารหัสก่อนอัปโหลด | Cipher | คีย์อยู่ที่ไหน |
|---|---|---|---|
| restic 0.19.1 | เสมอ: เนื้อหาไฟล์และ metadata รวมถึงแคชในเครื่อง | AES-256 ในโหมด counter mode พร้อมการรับรองความถูกต้องด้วย Poly1305-AES | ไฟล์คีย์ใน repository เปิดด้วยรหัสผ่านของคุณผ่าน scrypt |
| Borg 1.4.5 | ขึ้นอยู่กับโหมดที่ตั้งไว้ที่ borg init | AES-CTR-256 กับ HMAC-SHA256 หรือ BLAKE2b | repokey: ใน repository; keyfile: บนไคลเอนต์ |
| Kopia 0.23.1 | เสมอ: เนื้อหาและชื่อไฟล์และไดเรกทอรี | AES-256 หรือ ChaCha20 | คีย์ที่ผู้ใช้ควบคุม อยู่หลังรหัสผ่าน repository ของคุณ |
| Proxmox Backup Server 4.2 | สแนปช็อตที่สร้างด้วยคีย์ไคลเอนต์ | AES-256 ในโหมด GCM | ไฟล์คีย์ไคลเอนต์; คีย์หลัก RSA สามารถกู้คืนได้ |
| Synology Hyper Backup (DSM 7.4) | งานแบบหลายเวอร์ชันที่เปิดการเข้ารหัสฝั่งไคลเอนต์ | AES-256 และ ECC Curve25519 | รหัสผ่านและคีย์เข้ารหัสของคุณ |
| Veeam Backup & Replication 13 | งานที่เปิดการเข้ารหัส ที่ต้นทาง | คีย์ข้อมูลห่อด้วย AES 256 บิต | ฐานข้อมูลการกำหนดค่า อยู่หลังรหัสผ่านของคุณหรือ KMS |
| การเข้ารหัสฝั่งเซิร์ฟเวอร์ของ Nextcloud | ไม่มีอะไรฝั่งไคลเอนต์: เซิร์ฟเวอร์เป็นผู้เข้ารหัส | — | บนเซิร์ฟเวอร์; ในโหมด master key ผู้ดูแลระบบสามารถถอดรหัสได้ |
จากเอกสารของแต่ละโปรเจกต์ อ่านเมื่อ 2 พฤศจิกายน 2026
ทำไมเซิร์ฟเวอร์ที่เช่าจึงต้องการการเข้ารหัสฝั่งไคลเอนต์?
เซิร์ฟเวอร์ที่คุณเช่าคือเครื่องที่คนอื่นสามารถแตะต้องได้ ไดรฟ์เสียและถูกเปลี่ยน: เมื่อไดรฟ์เสีย ให้เปิด ticket ทีมจะเปลี่ยนไดรฟ์ให้โดยไม่มีค่าใช้จ่าย และการสร้างอาเรย์ใหม่บนไดรฟ์ใหม่ขึ้นอยู่กับการตั้งค่าของคุณ ไดรฟ์ถูกล้างข้อมูลเมื่อการเช่าสิ้นสุด: เซิร์ฟเวอร์แต่ละเครื่องชำระล่วงหน้าจากยอดคงเหลือคริปโตของคุณ เป็นเวลา 30 วัน 3 เดือน 6 เดือน หรือ 12 เดือนตามที่เลือกตอนชำระเงิน การต่ออายุอัตโนมัติจะเรียกเก็บในระยะเวลาเดิมอีกครั้งในราคาที่คุณเริ่มต้นไว้ เว้นแต่คุณจะกำหนดระยะเวลาอื่นสำหรับการต่ออายุครั้งถัดไปในแดชบอร์ด เมื่อยอดคงเหลือไม่พอ เซิร์ฟเวอร์จะหยุดเมื่อสิ้นสุดระยะเวลา ไดรฟ์จะถูกเก็บไว้ 7 วันแล้วจึงลบข้อมูลทิ้ง และใครก็ตามที่เจาะเข้าเซิร์ฟเวอร์ที่กำลังทำงานอยู่อ่านทุกอย่างที่เซิร์ฟเวอร์เก็บไว้ได้แบบไม่เข้ารหัส
ด้วยการเข้ารหัสฝั่งไคลเอนต์ ไม่มีเหตุการณ์ใดในนั้นที่เผยข้อมูลของคุณ เซิร์ฟเวอร์เก็บ ciphertext และคีย์อยู่บนเครื่องที่คุณสำรองข้อมูล
เข้ารหัสที่จุดกำเนิดของข้อมูล แล้วเซิร์ฟเวอร์จะเก็บไว้แค่ข้อมูลที่อ่านไม่ออก
ต่างจากการเข้ารหัสดิสก์หรือการเข้ารหัสฝั่งเซิร์ฟเวอร์อย่างไร?
มีสามชั้นที่ถูกเรียกว่าการเข้ารหัส และแต่ละชั้นป้องกันสิ่งที่ต่างกัน
- การเข้ารหัสดิสก์บนเซิร์ฟเวอร์ (LUKS หรือ ZFS native encryption) ป้องกันไดรฟ์เมื่ออยู่นิ่ง เอกสารของ Nextcloud แนะนำ LUKS สำหรับ local storage เพราะยังครอบคลุมถึงการโจรกรรมเซิร์ฟเวอร์ทางกายภาพด้วย แต่ไม่ได้ทำอะไรเลยเมื่อเซิร์ฟเวอร์ทำงานโดยโหลดคีย์ไว้แล้ว คุณเข้ารหัสทุกไดรฟ์ข้อมูลด้วย LUKS หรือการเข้ารหัสแบบเนทีฟของ ZFS ได้ กุญแจอยู่กับคุณ และไม่มีใครในทีมขอสิ่งเหล่านี้เลย
- การเข้ารหัสฝั่งเซิร์ฟเวอร์ในแอปพลิเคชัน เช่นของ Nextcloud เก็บคีย์ไว้บนเซิร์ฟเวอร์ Nextcloud ระบุว่าไม่ได้ป้องกันเซิร์ฟเวอร์ที่ถูกบุกรุกหรือผู้ดูแลระบบที่ประสงค์ร้าย
- การเข้ารหัสฝั่งไคลเอนต์ เกิดขึ้นก่อนอัปโหลด เซิร์ฟเวอร์ไม่เคยถือคีย์ ดังนั้นเซิร์ฟเวอร์ที่ถูกบุกรุกก็ยังเห็นเพียง ciphertext
ใช้ชั้นแรกและชั้นที่สามร่วมกัน การเข้ารหัสดิสก์ต้องปลดล็อกทุกครั้งที่บูต การปลดล็อกเซิร์ฟเวอร์ที่เช่าซึ่งเข้ารหัสด้วย LUKS จากระยะไกล แสดงวิธีทำ
แต่ละเครื่องมือจัดการคีย์อย่างไร?
กุญแจคือสำรองข้อมูล หากทำหาย สำเนาที่เข้ารหัสก็ไร้ค่าสำหรับคุณเช่นกัน
- restic: รหัสผ่านของคุณเปิด master key หากไม่มีมัน ก็ไม่สามารถอ่านสิ่งใดใน repository ได้
- Borg: รัน
borg key exportและเก็บผลลัพธ์ไว้นอกระบบที่ถูกสำรองข้อมูล เอกสารของ Borg ระบุว่าสำเนาบนระบบนั้นไม่เพียงพอสำหรับโหมด keyfile - Proxmox Backup Server: ไฟล์คีย์เริ่มต้นที่
~/.config/proxmox-backup/encryption-key.jsonคู่ master key จะใส่สำเนาที่เข้ารหัสด้วย RSA ไว้ในทุก backup และpaperkeyพิมพ์ master key เป็น QR code ตั้งแต่เวอร์ชัน 4.2 งาน push sync สามารถเข้ารหัส snapshot ก่อนส่งได้ - Hyper Backup: Synology เตือนว่าไม่สามารถกู้คืนรหัสผ่านที่หายไปได้ และการทำหายหมายถึงข้อมูลสูญหายอย่างถาวร
- Veeam: รหัสผ่านที่หายไปจะบล็อกการ restore เว้นแต่จะใช้คีย์ของ Enterprise Manager
- ZFS replication:
zfs send --rawส่ง dataset ที่เข้ารหัสตามสภาพบนดิสก์ OpenZFS ระบุว่าเครื่องปลายทางไม่เคยมีคีย์
สองเครื่องมือที่ใช้กันมากที่สุดถูกเปรียบเทียบใน restic หรือ Borg สำหรับ offsite backup
client-side encryption ไม่ซ่อนอะไรบ้าง?
มันซ่อนเนื้อหา และสำหรับเครื่องมือส่วนใหญ่ก็ซ่อนชื่อด้วย แต่ไม่ซ่อนว่าคุณเก็บข้อมูลเท่าไรหรือเมื่อไร บันทึกการออกแบบของ restic เองระบุว่าผู้สังเกตที่มีสิทธิ์เข้าถึง storage สามารถอนุมานขนาด backup จาก timestamp ของ object ได้ ไฟล์คีย์ของมันยังเก็บ hostname, username และเวลาที่สร้างไว้ในข้อความธรรมดา
แอปพลิเคชันที่ทำงานกับไฟล์ของคุณ เช่น Nextcloud หรือ Immich จำเป็นต้องมีไฟล์ในสภาพอ่านได้บนเซิร์ฟเวอร์เพื่อทำดัชนี แสดงตัวอย่าง และค้นหา สำหรับแอปเหล่านี้ ให้ใช้ disk encryption บนเซิร์ฟเวอร์ และใช้ client-side encryption สำหรับ offsite backup ของมัน การเข้ารหัสยังไม่หยุดการลบด้วย: ใช้ควบคู่กับ immutable backup
ยังต้องเข้ารหัสไหมหากโฮสต์ไม่ขอ ID และไม่เก็บ log?
ต้อง เพราะทั้งสองตอบคำถามคนละเรื่อง การไม่ต้อง KYC ครอบคลุมว่าคุณเป็นใคร การเข้ารหัสครอบคลุมว่าคุณเก็บอะไร
จากผู้ขาย storage server 23 รายที่ Basalthold ตรวจสอบเมื่อ 2 November 2026 มีเพียง 3 รายที่ระบุว่าไม่ขอ ID ที่เหลือ 12 ขอเมื่อมีเงื่อนไขบางอย่าง 2 ขอก่อนส่งมอบ และ 6 ไม่ระบุ ฝั่งเรา: ไม่ต้อง KYC: ไม่ต้องใช้บัตรประชาชน ไม่ต้องเซลฟี่ ไม่ต้องใช้เอกสาร ไม่ต้องใช้บัตร และไม่ต้องใช้หมายเลขโทรศัพท์ ในทุกขั้นตอน ไม่มีการเก็บ log: ไม่มีบันทึกการเชื่อมต่อ ไม่มีบันทึกทราฟฟิก และไม่มี IP address ของผู้เยี่ยมชมหรือลูกค้า ทั้งบนเว็บไซต์ ใน dashboard และบนเซิร์ฟเวอร์
ทั้งสองกฎไม่เปลี่ยนสิ่งที่ไดรฟ์บรรจุอยู่เมื่อออกจากเครื่อง สิ่งที่เกิดขึ้นกับไดรฟ์หลังสิ้นสุดการเช่าอยู่ที่ ข้อมูลของคุณหลังจากยกเลิกเช่า storage server ราคาอยู่ที่ รายการราคาแบบ hold
ผู้คนยังถามอะไรอีกเกี่ยวกับ client-side encryption?
Basalthold อ่าน backup ที่เข้ารหัสของฉันได้ไหม?
ไม่ได้ ด้วย client-side encryption เซิร์ฟเวอร์เก็บเฉพาะ ciphertext และคีย์ไม่เคยไปถึงเซิร์ฟเวอร์ คุณเข้ารหัสทุกไดรฟ์ข้อมูลด้วย LUKS หรือการเข้ารหัสแบบเนทีฟของ ZFS ได้ กุญแจอยู่กับคุณ และไม่มีใครในทีมขอสิ่งเหล่านี้เลย
ZFS native encryption เป็น client-side encryption ไหม?
ไม่ใช่โดยตัวมันเอง: เซิร์ฟเวอร์เป็นผู้เข้ารหัส ดังนั้นคีย์จะถูกโหลดบนเซิร์ฟเวอร์ขณะทำงาน มันกลายเป็น end-to-end เมื่อ NAS replicate dataset ที่เข้ารหัสด้วย zfs send --raw: เซิร์ฟเวอร์ปลายทางเก็บมันโดยไม่เคยได้รับคีย์
การเข้ารหัสของ Nextcloud นับเป็น client-side ไหม?
ไม่ นับ การเข้ารหัสฝั่งเซิร์ฟเวอร์ของ Nextcloud เก็บคีย์ไว้บนเซิร์ฟเวอร์ และในโหมด master key ผู้ดูแลระบบสามารถถอดรหัสไฟล์ใดก็ได้ Nextcloud แนะนำให้ใช้ disk encryption เช่น LUKS สำหรับ local storage แทน
จะเกิดอะไรขึ้นหากฉันทำกุญแจเข้ารหัสหาย?
backup จะไม่สามารถกู้คืนได้ ทั้งโดยคุณหรือใครก็ตาม restic, Borg, Proxmox Backup Server, Hyper Backup และ Veeam ต่างระบุเช่นนั้น เก็บกุญแจ หรือสำเนากระดาษ ไว้ในที่ที่แยกจากทั้ง client และเซิร์ฟเวอร์
ฉันควรเข้ารหัสไดรฟ์ของเซิร์ฟเวอร์ที่เช่าด้วยไหม?
ควร สำหรับสิ่งใดก็ตามที่เก็บไว้ในสภาพอ่านได้ เช่น data directory ของ Nextcloud disk encryption ปกป้องไดรฟ์ที่ถูกสลับและล้างข้อมูล client-side encryption ปกป้องเซิร์ฟเวอร์ที่กำลังทำงาน แต่ละอย่างครอบคลุมช่องว่างที่อีกอย่างหนึ่งเว้นไว้
เซิร์ฟเวอร์ที่เก็บ ciphertext ของคุณ
Hold 40: AMD Ryzen 5 3600 (6 คอร์ / 12 เธรด), 64 GB DDR4, ฮาร์ดไดรฟ์ 4 × 10 TB (40 TB แบบ raw) พร้อม NVMe 512 GB สำหรับระบบ, พอร์ต 1 Gbit/s พร้อมทราฟฟิก 60 TB ต่อ 30 วัน, 1 IPv4 และ IPv6 /64 สำหรับ $201.09/30 days จ่ายด้วยคริปโต ไม่ต้อง KYC และกุญแจยังเป็นของคุณ
- DomaineGoat LLC จดทะเบียนในปานามา
- ราคาสำรวจจากผู้ขาย storage 23 ราย 2 พฤศจิกายน 2026
- ไม่ต้อง KYC ไม่ต้องใช้เอกสาร
- encryption key ของคุณยังเป็นของคุณ
แหล่งที่มา (10)
- แหล่งอ้างอิง: การออกแบบและวิทยาการเข้ารหัส — restic documentation (read 2026-11-02)
- borg init: โหมดการเข้ารหัส (1.4.5) — BorgBackup documentation (read 2026-11-02)
- คุณสมบัติ: การเข้ารหัส — Kopia documentation (read 2026-11-02)
- การใช้งานไคลเอนต์สำรองข้อมูล: การเข้ารหัส pbs.proxmox.com/docs/backup-client.html — Proxmox Backup 4.2 documentation (read 2026-11-02)
- บันทึกประจำรุ่น Proxmox Backup Server 4.2 pbs.proxmox.com/wiki/index.php/Roadmap — Proxmox (read 2026-11-02)
- ข้อกำหนดของซอฟต์แวร์ Hyper Backup (DSM 7.4) — Synology (read 2026-11-02)
- จะสำรองข้อมูลไปยังระบบจัดเก็บข้อมูล Synology ระยะไกลด้วย Hyper Backup ได้อย่างไร? — Synology Knowledge Center (read 2026-11-02)
- การเข้ารหัสข้อมูลสำรองทำงานอย่างไร (Veeam Backup & Replication 13) — Veeam Help Center (read 2026-11-02)
- การกำหนดค่าการเข้ารหัสฝั่งเซิร์ฟเวอร์ (Nextcloud 35) — Nextcloud Administration Manual (read 2026-11-02)
- zfs-send(8): --raw — OpenZFS (read 2026-11-02)