# การเข้ารหัสฝั่งไคลเอนต์สำหรับการสำรองข้อมูลคืออะไร และฉันจำเป็นต้องใช้บนเซิร์ฟเวอร์ที่เช่าหรือไม่?

> การเข้ารหัสฝั่งไคลเอนต์สำหรับการสำรองข้อมูล: สิ่งที่ restic, Borg, Kopia, Proxmox Backup Server, Hyper Backup และ Veeam เข้ารหัสก่อนอัปโหลด คริปโต ไม่ต้อง KYC

- URL: https://basalthold.com/th/client-side-encrypted-backups/
- อัปเดตล่าสุด: 2026-11-02
- ผู้เผยแพร่: Basalthold (https://basalthold.com)

เครื่องมือสำรองข้อมูลเจ็ดตัวและสิ่งที่แต่ละตัวเข้ารหัสก่อนข้อมูลออกไป คีย์อยู่ที่ไหน และการเข้ารหัสฝั่งไคลเอนต์แตกต่างจากการเข้ารหัสดิสก์บนเซิร์ฟเวอร์อย่างไร

**คำตอบสั้น — การเข้ารหัสฝั่งไคลเอนต์สำหรับการสำรองข้อมูลคืออะไร และฉันจำเป็นต้องใช้บนเซิร์ฟเวอร์ที่เช่าหรือไม่?**

การเข้ารหัสฝั่งไคลเอนต์สำหรับการสำรองข้อมูลหมายความว่าเครื่องของคุณเข้ารหัสข้อมูลก่อนที่ข้อมูลจะออกจากเครื่อง โดยใช้คีย์ที่เซิร์ฟเวอร์ไม่เคยถือไว้ บนเซิร์ฟเวอร์ที่เช่า คุณจำเป็นต้องมีมัน เพราะไดรฟ์ถูกสลับ ถูกล้างข้อมูล และถูกจัดการโดยคนอื่น restic, Borg และ Proxmox Backup Server ล้วนมีให้ใช้ (อ่านเอกสารได้ที่ 2 November 2026) **Basalthold** ให้เช่าเซิร์ฟเวอร์จาก US$110.99 จ่ายด้วยคริปโตเท่านั้น ไม่ต้อง KYC

## แต่ละเครื่องมือสำรองข้อมูลเข้ารหัสอะไรฝั่งคุณ?

| เครื่องมือ (เวอร์ชันที่อ่าน) | เข้ารหัสก่อนอัปโหลด | Cipher | คีย์อยู่ที่ไหน |
| --- | --- | --- | --- |
| restic 0.19.1 | เสมอ: เนื้อหาไฟล์และ metadata รวมถึงแคชในเครื่อง | AES-256 ในโหมด counter mode พร้อมการรับรองความถูกต้องด้วย Poly1305-AES | ไฟล์คีย์ใน repository เปิดด้วยรหัสผ่านของคุณผ่าน scrypt |
| Borg 1.4.5 | ขึ้นอยู่กับโหมดที่ตั้งไว้ที่ `borg init` | AES-CTR-256 กับ HMAC-SHA256 หรือ BLAKE2b | repokey: ใน repository; keyfile: บนไคลเอนต์ |
| Kopia 0.23.1 | เสมอ: เนื้อหาและชื่อไฟล์และไดเรกทอรี | AES-256 หรือ ChaCha20 | คีย์ที่ผู้ใช้ควบคุม อยู่หลังรหัสผ่าน repository ของคุณ |
| Proxmox Backup Server 4.2 | สแนปช็อตที่สร้างด้วยคีย์ไคลเอนต์ | AES-256 ในโหมด GCM | ไฟล์คีย์ไคลเอนต์; คีย์หลัก RSA สามารถกู้คืนได้ |
| Synology Hyper Backup (DSM 7.4) | งานแบบหลายเวอร์ชันที่เปิดการเข้ารหัสฝั่งไคลเอนต์ | AES-256 และ ECC Curve25519 | รหัสผ่านและคีย์เข้ารหัสของคุณ |
| Veeam Backup & Replication 13 | งานที่เปิดการเข้ารหัส ที่ต้นทาง | คีย์ข้อมูลห่อด้วย AES 256 บิต | ฐานข้อมูลการกำหนดค่า อยู่หลังรหัสผ่านของคุณหรือ KMS |
| การเข้ารหัสฝั่งเซิร์ฟเวอร์ของ Nextcloud | ไม่มีอะไรฝั่งไคลเอนต์: เซิร์ฟเวอร์เป็นผู้เข้ารหัส | — | บนเซิร์ฟเวอร์; ในโหมด master key ผู้ดูแลระบบสามารถถอดรหัสได้ |

จากเอกสารของแต่ละโปรเจกต์ อ่านเมื่อ 2 พฤศจิกายน 2026

## ทำไมเซิร์ฟเวอร์ที่เช่าจึงต้องการการเข้ารหัสฝั่งไคลเอนต์?

เซิร์ฟเวอร์ที่คุณเช่าคือเครื่องที่คนอื่นสามารถแตะต้องได้ ไดรฟ์เสียและถูกเปลี่ยน: เมื่อไดรฟ์เสีย ให้เปิด ticket ทีมจะเปลี่ยนไดรฟ์ให้โดยไม่มีค่าใช้จ่าย และการสร้างอาเรย์ใหม่บนไดรฟ์ใหม่ขึ้นอยู่กับการตั้งค่าของคุณ ไดรฟ์ถูกล้างข้อมูลเมื่อการเช่าสิ้นสุด: เซิร์ฟเวอร์แต่ละเครื่องชำระล่วงหน้าจากยอดคงเหลือคริปโตของคุณ เป็นเวลา 30 วัน 3 เดือน 6 เดือน หรือ 12 เดือนตามที่เลือกตอนชำระเงิน การต่ออายุอัตโนมัติจะเรียกเก็บในระยะเวลาเดิมอีกครั้งในราคาที่คุณเริ่มต้นไว้ เว้นแต่คุณจะกำหนดระยะเวลาอื่นสำหรับการต่ออายุครั้งถัดไปในแดชบอร์ด เมื่อยอดคงเหลือไม่พอ เซิร์ฟเวอร์จะหยุดเมื่อสิ้นสุดระยะเวลา ไดรฟ์จะถูกเก็บไว้ 7 วันแล้วจึงลบข้อมูลทิ้ง และใครก็ตามที่เจาะเข้าเซิร์ฟเวอร์ที่กำลังทำงานอยู่อ่านทุกอย่างที่เซิร์ฟเวอร์เก็บไว้ได้แบบไม่เข้ารหัส

ด้วยการเข้ารหัสฝั่งไคลเอนต์ ไม่มีเหตุการณ์ใดในนั้นที่เผยข้อมูลของคุณ เซิร์ฟเวอร์เก็บ ciphertext และคีย์อยู่บนเครื่องที่คุณสำรองข้อมูล

**เข้ารหัสที่จุดกำเนิดของข้อมูล แล้วเซิร์ฟเวอร์จะเก็บไว้แค่ข้อมูลที่อ่านไม่ออก**

## ต่างจากการเข้ารหัสดิสก์หรือการเข้ารหัสฝั่งเซิร์ฟเวอร์อย่างไร?

มีสามชั้นที่ถูกเรียกว่าการเข้ารหัส และแต่ละชั้นป้องกันสิ่งที่ต่างกัน

- **การเข้ารหัสดิสก์บนเซิร์ฟเวอร์** (LUKS หรือ ZFS native encryption) ป้องกันไดรฟ์เมื่ออยู่นิ่ง เอกสารของ Nextcloud แนะนำ LUKS สำหรับ local storage เพราะยังครอบคลุมถึงการโจรกรรมเซิร์ฟเวอร์ทางกายภาพด้วย แต่ไม่ได้ทำอะไรเลยเมื่อเซิร์ฟเวอร์ทำงานโดยโหลดคีย์ไว้แล้ว คุณเข้ารหัสทุกไดรฟ์ข้อมูลด้วย LUKS หรือการเข้ารหัสแบบเนทีฟของ ZFS ได้ กุญแจอยู่กับคุณ และไม่มีใครในทีมขอสิ่งเหล่านี้เลย
- **การเข้ารหัสฝั่งเซิร์ฟเวอร์ในแอปพลิเคชัน** เช่นของ Nextcloud เก็บคีย์ไว้บนเซิร์ฟเวอร์ Nextcloud ระบุว่าไม่ได้ป้องกันเซิร์ฟเวอร์ที่ถูกบุกรุกหรือผู้ดูแลระบบที่ประสงค์ร้าย
- **การเข้ารหัสฝั่งไคลเอนต์** เกิดขึ้นก่อนอัปโหลด เซิร์ฟเวอร์ไม่เคยถือคีย์ ดังนั้นเซิร์ฟเวอร์ที่ถูกบุกรุกก็ยังเห็นเพียง ciphertext

ใช้ชั้นแรกและชั้นที่สามร่วมกัน การเข้ารหัสดิสก์ต้องปลดล็อกทุกครั้งที่บูต [การปลดล็อกเซิร์ฟเวอร์ที่เช่าซึ่งเข้ารหัสด้วย LUKS จากระยะไกล](https://basalthold.com/th/luks-remote-unlock/ "Dropbear in the initramfs, and ZFS native encryption") แสดงวิธีทำ

## แต่ละเครื่องมือจัดการคีย์อย่างไร?

กุญแจคือสำรองข้อมูล หากทำหาย สำเนาที่เข้ารหัสก็ไร้ค่าสำหรับคุณเช่นกัน

- **restic:** รหัสผ่านของคุณเปิด master key หากไม่มีมัน ก็ไม่สามารถอ่านสิ่งใดใน repository ได้
- **Borg:** รัน `borg key export` และเก็บผลลัพธ์ไว้นอกระบบที่ถูกสำรองข้อมูล เอกสารของ Borg ระบุว่าสำเนาบนระบบนั้นไม่เพียงพอสำหรับโหมด keyfile
- **Proxmox Backup Server:** ไฟล์คีย์เริ่มต้นที่ `~/.config/proxmox-backup/encryption-key.json` คู่ master key จะใส่สำเนาที่เข้ารหัสด้วย RSA ไว้ในทุก backup และ `paperkey` พิมพ์ master key เป็น QR code ตั้งแต่เวอร์ชัน 4.2 งาน push sync สามารถเข้ารหัส snapshot ก่อนส่งได้
- **Hyper Backup:** Synology เตือนว่าไม่สามารถกู้คืนรหัสผ่านที่หายไปได้ และการทำหายหมายถึงข้อมูลสูญหายอย่างถาวร
- **Veeam:** รหัสผ่านที่หายไปจะบล็อกการ restore เว้นแต่จะใช้คีย์ของ Enterprise Manager
- **ZFS replication:** `zfs send --raw` ส่ง dataset ที่เข้ารหัสตามสภาพบนดิสก์ OpenZFS ระบุว่าเครื่องปลายทางไม่เคยมีคีย์

สองเครื่องมือที่ใช้กันมากที่สุดถูกเปรียบเทียบใน [restic หรือ Borg สำหรับ offsite backup](https://basalthold.com/th/restic-vs-borg/ "Versions, server needs, encryption and append-only mode")

## client-side encryption ไม่ซ่อนอะไรบ้าง?

มันซ่อนเนื้อหา และสำหรับเครื่องมือส่วนใหญ่ก็ซ่อนชื่อด้วย แต่ไม่ซ่อนว่าคุณเก็บข้อมูลเท่าไรหรือเมื่อไร บันทึกการออกแบบของ restic เองระบุว่าผู้สังเกตที่มีสิทธิ์เข้าถึง storage สามารถอนุมานขนาด backup จาก timestamp ของ object ได้ ไฟล์คีย์ของมันยังเก็บ hostname, username และเวลาที่สร้างไว้ในข้อความธรรมดา

แอปพลิเคชันที่ทำงานกับไฟล์ของคุณ เช่น Nextcloud หรือ Immich จำเป็นต้องมีไฟล์ในสภาพอ่านได้บนเซิร์ฟเวอร์เพื่อทำดัชนี แสดงตัวอย่าง และค้นหา สำหรับแอปเหล่านี้ ให้ใช้ disk encryption บนเซิร์ฟเวอร์ และใช้ client-side encryption สำหรับ offsite backup ของมัน การเข้ารหัสยังไม่หยุดการลบด้วย: ใช้ควบคู่กับ [immutable backup](https://basalthold.com/th/immutable-backups/ "Append-only repositories, Veeam, object lock and ZFS snapshots")

## ยังต้องเข้ารหัสไหมหากโฮสต์ไม่ขอ ID และไม่เก็บ log?

ต้อง เพราะทั้งสองตอบคำถามคนละเรื่อง การไม่ต้อง KYC ครอบคลุมว่าคุณเป็นใคร การเข้ารหัสครอบคลุมว่าคุณเก็บอะไร

**จากผู้ขาย storage server 23 รายที่ Basalthold ตรวจสอบเมื่อ 2 November 2026 มีเพียง 3 รายที่ระบุว่าไม่ขอ ID** ที่เหลือ 12 ขอเมื่อมีเงื่อนไขบางอย่าง 2 ขอก่อนส่งมอบ และ 6 ไม่ระบุ ฝั่งเรา: ไม่ต้อง KYC: ไม่ต้องใช้บัตรประชาชน ไม่ต้องเซลฟี่ ไม่ต้องใช้เอกสาร ไม่ต้องใช้บัตร และไม่ต้องใช้หมายเลขโทรศัพท์ ในทุกขั้นตอน ไม่มีการเก็บ log: ไม่มีบันทึกการเชื่อมต่อ ไม่มีบันทึกทราฟฟิก และไม่มี IP address ของผู้เยี่ยมชมหรือลูกค้า ทั้งบนเว็บไซต์ ใน dashboard และบนเซิร์ฟเวอร์

ทั้งสองกฎไม่เปลี่ยนสิ่งที่ไดรฟ์บรรจุอยู่เมื่อออกจากเครื่อง สิ่งที่เกิดขึ้นกับไดรฟ์หลังสิ้นสุดการเช่าอยู่ที่ [ข้อมูลของคุณหลังจากยกเลิกเช่า storage server](https://basalthold.com/th/data-after-server-cancellation/ "Hold period, wipe, and what to do before you cancel") ราคาอยู่ที่ [รายการราคาแบบ hold](https://basalthold.com/th/pricing/ "Every hold, term and city, with prices")

## ผู้คนยังถามอะไรอีกเกี่ยวกับ client-side encryption?

### Basalthold อ่าน backup ที่เข้ารหัสของฉันได้ไหม?

ไม่ได้ ด้วย client-side encryption เซิร์ฟเวอร์เก็บเฉพาะ ciphertext และคีย์ไม่เคยไปถึงเซิร์ฟเวอร์ คุณเข้ารหัสทุกไดรฟ์ข้อมูลด้วย LUKS หรือการเข้ารหัสแบบเนทีฟของ ZFS ได้ กุญแจอยู่กับคุณ และไม่มีใครในทีมขอสิ่งเหล่านี้เลย

### ZFS native encryption เป็น client-side encryption ไหม?

ไม่ใช่โดยตัวมันเอง: เซิร์ฟเวอร์เป็นผู้เข้ารหัส ดังนั้นคีย์จะถูกโหลดบนเซิร์ฟเวอร์ขณะทำงาน มันกลายเป็น end-to-end เมื่อ NAS replicate dataset ที่เข้ารหัสด้วย `zfs send --raw`: เซิร์ฟเวอร์ปลายทางเก็บมันโดยไม่เคยได้รับคีย์

### การเข้ารหัสของ Nextcloud นับเป็น client-side ไหม?

ไม่ นับ การเข้ารหัสฝั่งเซิร์ฟเวอร์ของ Nextcloud เก็บคีย์ไว้บนเซิร์ฟเวอร์ และในโหมด master key ผู้ดูแลระบบสามารถถอดรหัสไฟล์ใดก็ได้ Nextcloud แนะนำให้ใช้ disk encryption เช่น LUKS สำหรับ local storage แทน

### จะเกิดอะไรขึ้นหากฉันทำกุญแจเข้ารหัสหาย?

backup จะไม่สามารถกู้คืนได้ ทั้งโดยคุณหรือใครก็ตาม restic, Borg, Proxmox Backup Server, Hyper Backup และ Veeam ต่างระบุเช่นนั้น เก็บกุญแจ หรือสำเนากระดาษ ไว้ในที่ที่แยกจากทั้ง client และเซิร์ฟเวอร์

### ฉันควรเข้ารหัสไดรฟ์ของเซิร์ฟเวอร์ที่เช่าด้วยไหม?

ควร สำหรับสิ่งใดก็ตามที่เก็บไว้ในสภาพอ่านได้ เช่น data directory ของ Nextcloud disk encryption ปกป้องไดรฟ์ที่ถูกสลับและล้างข้อมูล client-side encryption ปกป้องเซิร์ฟเวอร์ที่กำลังทำงาน แต่ละอย่างครอบคลุมช่องว่างที่อีกอย่างหนึ่งเว้นไว้

**เซิร์ฟเวอร์ที่เก็บ ciphertext ของคุณ** Hold 40: AMD Ryzen 5 3600 (6 คอร์ / 12 เธรด), 64 GB DDR4, ฮาร์ดไดรฟ์ 4 × 10 TB (40 TB แบบ raw) พร้อม NVMe 512 GB สำหรับระบบ, พอร์ต 1 Gbit/s พร้อมทราฟฟิก 60 TB ต่อ 30 วัน, 1 IPv4 และ IPv6 /64 สำหรับ $201.09/30 days จ่ายด้วยคริปโต ไม่ต้อง KYC และกุญแจยังเป็นของคุณ [เช่า Hold 40 ในอัมสเตอร์ดัม](https://basalthold.com/app/checkout/?plan=hold-40&location=nl-ams&lang=th) · [เช่า Hold 160 ใน Chisinau](https://basalthold.com/app/checkout/?plan=hold-160&location=md-kiv&lang=th)

## แหล่งที่มา

1. [แหล่งอ้างอิง: การออกแบบและวิทยาการเข้ารหัส](https://restic.readthedocs.io/en/stable/100_references.html) — restic documentation (read 2026-11-02)
2. [borg init: โหมดการเข้ารหัส (1.4.5)](https://borgbackup.readthedocs.io/en/stable/usage/init.html) — BorgBackup documentation (read 2026-11-02)
3. [คุณสมบัติ: การเข้ารหัส](https://kopia.io/docs/features/) — Kopia documentation (read 2026-11-02)
4. [การใช้งานไคลเอนต์สำรองข้อมูล: การเข้ารหัส](https://pbs.proxmox.com/docs/backup-client.html) — Proxmox Backup 4.2 documentation (read 2026-11-02)
5. [บันทึกประจำรุ่น Proxmox Backup Server 4.2](https://pbs.proxmox.com/wiki/index.php/Roadmap) — Proxmox (read 2026-11-02)
6. [ข้อกำหนดของซอฟต์แวร์ Hyper Backup (DSM 7.4)](https://www.synology.com/en-sg/dsm/7.4/software_spec/hyper_backup) — Synology (read 2026-11-02)
7. [จะสำรองข้อมูลไปยังระบบจัดเก็บข้อมูล Synology ระยะไกลด้วย Hyper Backup ได้อย่างไร?](https://kb.synology.com/en-global/DSM/tutorial/How_to_back_up_your_data_to_a_remote_Synology_NAS_or_file_server_with_Hyper_Backup) — Synology Knowledge Center (read 2026-11-02)
8. [การเข้ารหัสข้อมูลสำรองทำงานอย่างไร (Veeam Backup & Replication 13)](https://helpcenter.veeam.com/docs/vbr/userguide/encryption_hiw.html?ver=13) — Veeam Help Center (read 2026-11-02)
9. [การกำหนดค่าการเข้ารหัสฝั่งเซิร์ฟเวอร์ (Nextcloud 35)](https://docs.nextcloud.com/server/35/admin_manual/configuration_files/encryption_configuration.html) — Nextcloud Administration Manual (read 2026-11-02)
10. [zfs-send(8): --raw](https://openzfs.github.io/openzfs-docs/man/master/8/zfs-send.8.html) — OpenZFS (read 2026-11-02)

---

Basalthold: Basalthold ให้เช่า dedicated server สำหรับ storage ใน Amsterdam, Bucharest และ Chisinau จ่ายด้วยคริปโต ไม่ต้อง KYC: ไม่ต้องใช้บัตรประชาชน ไม่ต้องเซลฟี่ ไม่ต้องส่งเอกสาร แต่ละเซิร์ฟเวอร์เป็นเครื่องกายภาพเต็มเครื่องที่มีฮาร์ดดิสก์ 24 TB ถึง 160 TB สำหรับลูกค้ารายเดียว ส่งมอบพร้อมไดรฟ์ข้อมูลเปล่าและสิทธิ์ root เหมาะสำหรับ backup, archive, ซิงค์ไฟล์ และ self-hosted object storage เมื่อวันที่ 2 พฤศจิกายน 2026 ราคาอยู่ที่ $110.99 ต่อ 30 วันสำหรับ 24 TB ถึง $561.39 สำหรับ 160 TB ($3.50 ต่อ raw TB) ดำเนินการโดย DomaineGoat LLC บริษัทจดทะเบียนใน Panama ไม่เก็บ log และไม่เคยขอ encryption key ของคุณ