Mã hóa phía máy khách cho sao lưu là gì, và tôi có cần nó trên server thuê không?

Vì sao một máy chủ thuê cần mã hóa phía máy khách?

Một máy chủ bạn thuê là một cỗ máy mà người khác có thể chạm vào. Ổ đĩa hỏng và được thay: Khi một ổ đĩa hỏng, hãy mở ticket: đội ngũ sẽ thay miễn phí, còn việc rebuild mảng trên ổ mới tùy thuộc vào thiết lập của bạn. Ổ đĩa bị xóa sạch khi kết thúc kỳ thuê: Mỗi server được thanh toán trước từ số dư crypto của bạn, cho 30 ngày, 3 tháng, 6 tháng hoặc 12 tháng tùy bạn chọn khi thanh toán. Gia hạn tự động sẽ tính lại đúng khoảng thời gian đó với mức giá ban đầu của bạn, trừ khi bạn đặt khoảng thời gian khác cho lần gia hạn tiếp theo trong dashboard; khi số dư không đủ, server sẽ dừng vào cuối kỳ hạn, các ổ đĩa được giữ trong 7 ngày rồi bị xóa. Và bất kỳ ai đột nhập vào máy chủ đang chạy đều đọc được mọi thứ nó chứa ở dạng rõ.

Với mã hóa phía máy khách, không sự kiện nào trong số đó làm lộ dữ liệu của bạn. Máy chủ lưu trữ bản mã, và khóa nằm lại trên các máy bạn sao lưu.

Hãy mã hóa ngay nơi dữ liệu sinh ra, và máy chủ chỉ mãi lưu giữ những tạp âm.

Nó khác gì với mã hóa ổ đĩa hoặc mã hóa phía máy chủ?

Ba lớp đều được gọi là mã hóa, và chúng bảo vệ chống lại những thứ khác nhau.

• Mã hóa ổ đĩa trên máy chủ (LUKS hoặc mã hóa gốc của ZFS) bảo vệ ổ đĩa khi tĩnh. Tài liệu của Nextcloud gợi ý dùng LUKS cho lưu trữ cục bộ, vì nó cũng bao phủ việc đánh cắp máy chủ vật lý. Nó không làm gì một khi máy chủ chạy với khóa đã nạp. Bạn có thể mã hóa mọi ổ đĩa dữ liệu bằng LUKS hoặc mã hóa gốc của ZFS; khóa nằm lại với bạn và không ai trong đội ngũ hỏi xin chúng.
• Mã hóa phía máy chủ trong một ứng dụng, như của Nextcloud, giữ khóa trên máy chủ. Nextcloud nói rằng nó không bảo vệ chống lại một máy chủ bị xâm phạm hay một quản trị viên độc hại.
• Mã hóa phía máy khách diễn ra trước khi tải lên. Máy chủ không bao giờ nắm giữ khóa, nên một máy chủ bị xâm phạm vẫn chỉ thấy bản mã.

Hãy dùng lớp thứ nhất và lớp thứ ba cùng nhau. Mã hóa ổ đĩa cần mở khóa ở mỗi lần khởi động; mở khóa từ xa một máy chủ thuê được mã hóa LUKS cho thấy cách làm.

Mỗi công cụ xử lý khóa như thế nào?

Khóa chính là bản sao lưu. Mất nó, bản sao mã hóa cũng vô giá trị với chính bạn.

• restic: mật khẩu của bạn mở khóa chính. Không có nó, không thể đọc được gì trong repository.
• Borg: chạy borg key export và giữ kết quả xa khỏi hệ thống được sao lưu. Tài liệu của Borg nói rằng bản sao trên chính hệ thống đó là không đủ cho chế độ keyfile.
• Proxmox Backup Server: tệp khóa mặc định nằm ở ~/.config/proxmox-backup/encryption-key.json. Một cặp khóa chính đặt bản sao mã hóa RSA vào mỗi bản sao lưu, và paperkey in khóa chính dưới dạng mã QR. Từ phiên bản 4.2, tác vụ push sync có thể mã hóa snapshot trước khi gửi.
• Hyper Backup: Synology cảnh báo không thể khôi phục mật khẩu bị mất, và mất nó nghĩa là mất dữ liệu vĩnh viễn.
• Veeam: mất mật khẩu sẽ chặn việc khôi phục, trừ khi đã dùng khóa Enterprise Manager.
• ZFS replication: zfs send --raw gửi dataset mã hóa đúng như trên đĩa. OpenZFS nói rằng máy nhận không bao giờ có khóa.

Hai công cụ phổ biến nhất được so sánh trong restic hay Borg cho backup offsite.

Mã hóa phía client không che giấu điều gì?

Nó che nội dung và, với hầu hết công cụ, che cả tên. Nó không che lượng dữ liệu bạn lưu hay thời điểm lưu. Ghi chú thiết kế của chính restic nói rằng người quan sát có quyền truy cập vào bộ lưu trữ có thể suy ra kích thước bản sao lưu từ timestamp của object. Các tệp khóa của nó cũng giữ hostname, tên người dùng và thời điểm tạo ở dạng văn bản thuần.

Các ứng dụng thao tác trên tệp của bạn, như Nextcloud hay Immich, cần chúng ở dạng rõ ràng trên máy chủ để lập chỉ mục, tạo bản xem trước và tìm kiếm. Với những ứng dụng đó, hãy dùng mã hóa ổ đĩa trên máy chủ, và mã hóa phía client cho các bản sao lưu offsite của chúng. Mã hóa cũng không ngăn được việc xóa: hãy kết hợp với backup bất biến.

Tôi có còn cần mã hóa nếu nhà cung cấp không đòi giấy tờ tùy thân và không lưu log?

Có, vì chúng trả lời những câu hỏi khác nhau. Không cần KYC nói về việc bạn là ai; mã hóa nói về việc bạn lưu gì.

Trong 23 nhà bán máy chủ lưu trữ Basalthold được kiểm tra vào 2 November 2026, chỉ 3 nêu rõ họ không đòi giấy tờ tùy thân. Trong số còn lại, 12 đòi khi có dấu hiệu kích hoạt, 2 đòi trước khi giao hàng, và 6 không nói rõ. Về phía chúng tôi: Không cần KYC: không cần ID, không selfie, không giấy tờ, không thẻ và không số điện thoại, ở bất kỳ bước nào. Không lưu log: không có bản ghi kết nối, không có bản ghi lưu lượng và không có địa chỉ IP của khách truy cập hay khách hàng, trên website, trong dashboard hay trên server.

Cả hai quy tắc đều không thay đổi nội dung ổ đĩa khi nó rời khỏi máy. Điều gì xảy ra với ổ đĩa sau khi hết hạn thuê được nói trong dữ liệu của bạn sau khi hủy thuê máy chủ lưu trữ. Giá có trong bảng giá thuê.