Що таке клієнтське шифрування для бекапів і чи потрібне воно мені на орендованому сервері?

Чому орендованому серверу потрібне шифрування на стороні клієнта?

Сервер, який ви орендуєте, — це машина, до якої можуть дістатися інші люди. Диски виходять з ладу й замінюються: Коли диск виходить з ладу, відкрийте тікет: команда замінить його безкоштовно, а перебудувати масив на новому диску — це вже налаштування на вашому боці. Диски затираються, коли оренда закінчується: Кожен сервер оплачується наперед з вашого крипто-балансу на 30 днів, 3 місяці, 6 місяців або 12 місяців — за вашим вибором під час оформлення замовлення. Автопродовження знову списує кошти за той самий термін за ціною, з якою ви починали, якщо ви не встановили інший термін для наступного продовження в дашборді; коли балансу не вистачає, сервер зупиняється в кінці свого терміну, його диски зберігаються 7 днів, а потім стираються. І будь-хто, хто зламає запущений сервер, прочитає все, що на ньому лежить у відкритому вигляді.

Із шифруванням на стороні клієнта жодна з цих подій не розкриває ваші дані. Сервер зберігає шифротекст, а ключ залишається на машинах, які ви бекапите.

Шифруйте там, де дані народжуються, і сервер зберігатиме лише шум.

Чим це відрізняється від шифрування диска чи шифрування на стороні сервера?

Шифруванням називають три рівні, і вони захищають від різного.

• Шифрування диска на сервері (LUKS або рідне шифрування ZFS) захищає диски в стані спокою. Документація Nextcloud радить LUKS для локального сховища, бо він також покриває крадіжку фізичного сервера. Він нічого не дає, щойно сервер працює із завантаженим ключем. Ви можете зашифрувати кожен диск для даних за допомогою LUKS або вбудованого шифрування ZFS; ключі залишаються у вас, і ніхто з команди їх ніколи не запитує.
• Шифрування на стороні сервера в застосунку, як-от у Nextcloud, тримає ключі на сервері. Nextcloud каже, що воно не захищає від скомпрометованого сервера чи зловмисного адміністратора.
• Шифрування на стороні клієнта відбувається до завантаження. Сервер ніколи не тримає ключ, тож скомпрометований сервер усе одно бачить лише шифротекст.

Використовуйте перше й третє разом. Шифрування диска потребує розблокування при кожному завантаженні; віддалене розблокування LUKS-шифрованого орендованого сервера показує як.

Як кожен інструмент поводиться з ключем?

Ключ — це і є резервна копія. Загубіть його, і зашифрована копія стане марною й для вас.

• restic: ваш пароль відкриває master key. Без нього нічого в репозиторії прочитати неможливо.
• Borg: виконайте borg key export і зберігайте результат окремо від системи, що бекапиться. Документація Borg каже, що копії на цій системі недостатньо для режиму keyfile.
• Proxmox Backup Server: файл ключа за замовчуванням — ~/.config/proxmox-backup/encryption-key.json. Пара master key додає RSA-зашифровану копію в кожен бекап, а paperkey виводить master key як QR-код. Починаючи з 4.2, push sync jobs можуть шифрувати снапшоти перед надсиланням.
• Hyper Backup: Synology попереджає, що не може відновити втрачений пароль, а його втрата означає безповоротну втрату даних.
• Veeam: втрачений пароль блокує відновлення, якщо не використовувалися ключі Enterprise Manager.
• ZFS replication: zfs send --raw надсилає зашифровані датасети такими, якими вони є на диску. OpenZFS каже, що приймальна машина ніколи не має ключів.

Два найпоширеніші інструменти порівняно в restic or Borg for offsite backups.

Що не приховує клієнтське шифрування?

Воно приховує вміст і, для більшості інструментів, назви. Воно не приховує, скільки ви зберігаєте і коли. Власні нотатки про дизайн restic кажуть, що спостерігач із доступом до сховища може визначити розміри бекапів за часовими мітками об'єктів. Його файли ключів також зберігають ім'я хоста, ім'я користувача й час створення відкритим текстом.

Застосунки, що працюють з вашими файлами, як-от Nextcloud чи Immich, потребують їх у відкритому вигляді на сервері для індексації, попереднього перегляду й пошуку. Для них використовуйте шифрування диска на сервері, а клієнтське шифрування — для їхніх offsite-бекапів. Шифрування також не зупиняє видалення: поєднуйте його з immutable backups.

Чи потрібне мені шифрування, якщо хост не просить ID і не веде логів?

Так, бо вони відповідають на різні питання. Відсутність KYC стосується того, хто ви; шифрування — того, що ви зберігаєте.

З 23 продавців storage-серверів Basalthold, перевірених на 2 November 2026, лише 3 заявляють, що не просять ID. З решти 12 просять за певних умов, 2 — перед доставкою, а 6 не кажуть. З нашого боку: Без KYC: ні ID, ні селфі, ні документів, ні картки й ні номера телефону — на жодному етапі. Логи не зберігаються: ні записів про з'єднання, ні записів про трафік, ні IP-адрес відвідувачів чи клієнтів — ні на сайті, ні в панелі, ні на серверах.

Жодне з правил не змінює того, що містить диск, коли він залишає машину. Що відбувається з дисками після завершення оренди, описано в your data after you cancel a rented storage server. Ціни — у the hold price list.