[Главная](https://anonport.com/ru) / [Руководства по приватному хостингу](https://anonport.com/ru/guides) / Полнодисковое шифрование VPS: настройка LUKS Эксплуатация # Полнодисковое шифрование VPS Шифрование диска хорошо отвечает на один вопрос и почти никак — на все остальные. Вот как настроить LUKS на арендованном сервере — зашифрованный том с данными, полное шифрование корня с удалённой разблокировкой через dropbear, либо bare metal, зашифрованный при установке, — и как понять, какую из ваших угроз это реально устраняет. [Читать руководство](#guide-body) [FAQ](#guide-faq) ## На этой странице - [Руководство](#guide-body) - [FAQ](#guide-faq) - [Похожие руководства](#guide-related) - [Рекомендуемые страницы](#guide-cta) Без KYC Только крипто Без логов DMCA игнорируется Полный root NVMe SSD 19 мин чтения Обновлено Aug 2026 На этой странице [01От чего шифрование в состоянии покоя действительно защищает](#От-чего-шифрование-в-состоянии-покоя-действительно-защищает) [02Почему VPS — не ноутбук](#Почему-vps-не-ноутбук) [03Три схемы развёртывания, которые того стоят](#Три-схемы-развёртывания-которые-того-стоят) [04Шифрование тома с данными на работающем VPS](#Шифрование-тома-с-данными-на-работающем-vps) [05Полное шифрование корня с удалённой разблокировкой по SSH](#Полное-шифрование-корня-с-удалённой-разблокировкой-по-ssh) [06Два параметра, которые важны, и ловушка небольшого VPS](#Два-параметра-которые-важны-и-ловушка-небольшого-vps) [07Swap, журналы, снапшоты — то, что забывают](#swap-журналы-снапшоты-то-что-забывают) [08Где живёт ключ — в этом вся конструкция](#Где-живёт-ключ-в-этом-вся-конструкция) [09Что видит ваш хостер и где начинается юрисдикция](#Что-видит-ваш-хостер-и-где-начинается-юрисдикция) [10Девять ошибок, превращающих шифрование в декорацию](#Девять-ошибок-превращающих-шифрование-в-декорацию) [11Так стоит ли делать это на VPS?](#Так-стоит-ли-делать-это-на-vps) [FAQЧастые вопросы](#guide-faq) [→Рекомендуемые страницы](#guide-cta) Полнодисковое шифрование отвечает ровно на один вопрос: что получит противник, если завладеет вашим накопителем при выключенной машине? На все остальные вопросы — что видит хостинг-провайдер, что происходит при захвате работающего сервера, в безопасности ли резервные копии — ответ другой, и попытка свести их все к одному — верный способ получить шифрование, которое не защищает ровно ничего. Об этом различии стоит говорить прямо, потому что фраза «зашифровано по технологии LUKS» встречается на странице почти любого приватного хостинг-провайдера в этой отрасли, [включая нашу](https://anonport.com/ru/anonymous-hosting). Это реальная мера защиты, её применение почти ничего не стоит, и в то же время это самая переоценённая мера защиты во всём хостинге. В этом гайде разобрано, от чего шифрование в состоянии покоя действительно защищает на арендованном сервере, три схемы развёртывания, которые того стоят, и команды для каждой, два параметра, которые реально важны на небольшом VPS, и несколько ошибок, превращающих всю затею в декорацию. ## От чего шифрование в состоянии покоя действительно защищает Шифрование в состоянии покоя означает, что байты на носителе представляют собой шифротекст, пока том закрыт. Это узкое утверждение, и его ценность зависит от одной-единственной переменной: где находится ключ в момент, когда появляется противник. | Ситуация | Помогает ли LUKS? | | --- | --- | | Диск списан, возвращён по гарантии или продан по окончании срока службы | **Да** — хрестоматийный случай, и он встречается куда чаще любого драматичного | | Машину изымают выключенной, либо накопитель извлекают из стойки | **Да**, при условии, что ключ не хранится на самой машине | | Провайдер копирует ваш виртуальный диск, пока сервер работает | Копия — это шифротекст, но ключ находится в RAM того же физического хоста | | Противник на уровне гипервизора снимает дамп памяти гостевой системы | **Нет.** Ключ разблокированного тома находится в памяти ядра | | Кто-то получает root на вашем работающем сервере | **Нет.** Файловая система смонтирована; её читают точно так же, как и вы | | Ваши резервные копии покидают сервер в открытом виде | **Нет.** Это решается на стороне источника, а не назначения | | Вам предписано предоставить парольную фразу | Это не технический вопрос — рассмотрен далее | Воспринимайте это как определение, а не как разочарование. Устранение класса угроз, связанного с изъятым диском, стоит часа работы именно потому, что от этого класса у вас больше нет иной защиты, а происходит это без всякого целенаправленного давления: оборудование выходит из строя и возвращается, массивы выводятся из эксплуатации, тома переиздаются следующему арендатору. Шифрование превращает всё это в незначащее событие. Шифрование в состоянии покоя хорошо отвечает на один вопрос: чего стоит закрытый том тому, кто им завладел. Где живёт ключ — от этого зависит всё остальное. ## Почему VPS — не ноутбук На ноутбуке логика очевидна сама по себе. Вы вводите парольную фразу при загрузке, ключ существует только в RAM, пока машина включена, а выключение ставит точку в этой истории. У сервера никого нет за консолью. Ключ должен подавать что-то на каждой загрузке, и каждый кандидат на роль этого «что-то» меняет доступность на защищённость: - **Ключ вводит человек.** Самая надёжная схема, поскольку ключ никогда не хранится на машине, — но сервер не сможет вернуться из перезагрузки без вас, и вам нужен способ попасть внутрь ещё до существования операционной системы. - **Ключ хранит сама машина.** Удобно, и в большинстве самодельных конфигураций контрпродуктивно: файл ключа на том же виртуальном диске означает, что ключом владеет тот, кто владеет диском. - **Ключ передаёт другая машина.** Разблокировка, привязанная к сети, — как правило, Clevis совместно с сервером Tang. Сервер разблокируется сам, только пока способен дотянуться до контролируемого вами хоста, и это действительно полезное свойство — перенос доверия, а не его устранение. Есть и второе отличие, которое обходит стороной большинство гайдов. На VPS /boot и initramfs хранятся в открытом виде, они находятся на носителе, который в конечном счёте контролирует провайдер, и никакую цепочку загрузки проверить нельзя — нет собственного TPM, нет measured boot, нечего аттестовать. Хост, которому нужна ваша парольная фраза, мог бы изменить initramfs и получить её при следующей разблокировке. Это не описание того, что делаем мы; это описание того, что допускает архитектура, — а это единственный честный способ рассуждать о компьютере, который вы арендуете. Наше [сравнение VPS и выделенных серверов](https://anonport.com/ru/guides/vps-vs-dedicated-for-privacy) разбирает ту же границу доверия со стороны железа, а [наш честный ответ об офшорной анонимности](https://anonport.com/ru/guides/is-offshore-hosting-truly-anonymous) применяет ту же дисциплину к маркетингу вокруг неё. ## Три схемы развёртывания, которые того стоят Единственно правильной настройки не существует — есть та, чей сценарий отказа вам по силам пережить. Эти три схемы охватывают практически все реальные случаи. | Схема | Что защищает | Цена перезагрузки | Риск блокировки | | --- | --- | --- | --- | | **1.** Зашифрованный том с данными, открываемый вручную после загрузки | Важные данные — база данных, почтовое хранилище, документы, ключи | Сервер возвращается сам; хранилище ждёт вас | Очень низкий | | **2.** Полное шифрование корня LUKS с удалённой разблокировкой через dropbear | Всё: системные журналы, конфигурация, swap — целиком | Каждая перезагрузка требует вас, по SSH, до завершения загрузки | Реальный — сломанная сетевая конфигурация initramfs оставляет машину без доступа | | **3.** Bare metal, зашифрованный при установке, парольная фраза вводится через IPMI | Всё, причём под ключом вообще нет гипервизора | Каждая перезагрузка требует вас, за внеполосной консолью | Низкий — IPMI обеспечивает независимый путь входа | Начните с первой схемы, если нет особой причины поступить иначе. Она даёт основную часть защиты за малую долю эксплуатационного риска и обладает единственным свойством, которого нет у двух других: ничто в ней не способно помешать серверу снова выйти в сеть. Третья схема — единственная, где парольная фраза — это факт, недоступный хостеру, а не обещание, которое хостер даёт, поэтому наши [выделенные серверы](https://anonport.com/ru/dedicated) получают LUKS при установке с парольной фразой, которую мы никогда не видим. ## Шифрование тома с данными на работающем VPS Это схема, к которой стоит обращаться в первую очередь. Ничего не переустанавливается, процесс загрузки никак не меняется, а худший исход при ошибке — файл-контейнер, который можно просто выбросить. Пятнадцать минут на живом сервере с Debian или Ubuntu. - **Установите инструментарий.** apt install cryptsetup. Если по вашему тарифу выдан второй блочный диск, используйте его напрямую и пропустите следующий шаг. - **Создайте контейнер.** На VPS с одним диском практичный путь — обычный файл: fallocate -l 40G /var/lib/vault.img. Он ведёт себя как диск, и его можно позже увеличить. - **Отформатируйте его как LUKS2.** cryptsetup luksFormat --type luks2 /var/lib/vault.img. Оставьте значения шифра по умолчанию; ниже разобран единственный параметр, который стоит трогать на небольшом сервере. - **Откройте его и разместите файловую систему.** cryptsetup open /var/lib/vault.img vault даёт вам /dev/mapper/vault; затем mkfs.ext4 /dev/mapper/vault и mount /dev/mapper/vault /srv/vault. - **Перенесите важные данные, затем перенаправьте на них сервисы.** Bind-монтирование или rsync при остановленном сервисе обычно чище символических ссылок — базы данных особенно не любят, когда за ними «бегают». - **Сделайте резервную копию заголовка LUKS.** cryptsetup luksHeaderBackup /var/lib/vault.img --header-backup-file vault-header.bin, затем перенесите этот файл с сервера. Несколько повреждённых килобайт в начале контейнера безвозвратно уничтожают все байты за ними, и это единственная существующая страховка. - **Закройте его и убедитесь, что сможете войти снова.** umount /srv/vault && cryptsetup close vault, затем откройте его заново по своим записям, а не по памяти. Сделайте это до того, как внутри появится что-то ценное. После перезагрузки хранилище остаётся закрытым, пока вы не войдёте и не откроете его сами. Это не ограничение, которое нужно обходить, — это и есть весь смысл. Том, который открывается сам, — это том, чей ключ находится на машине. **Ловушка миграции.** Копирование открытых данных в зашифрованное хранилище не стирает их из места, откуда они пришли. На виртуализированном хранилище shred в принципе ненадёжен — уровень, который вы перезаписываете, не является тем уровнем, где реально хранятся данные. Если материал действительно чувствителен, начните зашифрованным на новом сервере, а не мигрируйте в шифрование на старом. ## Полное шифрование корня с удалённой разблокировкой по SSH Когда требование таково, что при захвате выключенной машины не должно уцелеть *ничего* читаемого — ни журналы, ни история команд оболочки, ни списки пакетов, ни сама форма того, что вы запускаете, — внутри контейнера должна оказаться и корневая файловая система. Тогда задача сводится к тому, как передать парольную фразу на машину, которая ещё не загрузилась, а ответ — крошечный SSH-сервер, живущий внутри initramfs. - **Устанавливайте сразу зашифрованным.** Загрузите установщик дистрибутива через [загрузку собственного ISO](https://anonport.com/ru/vps) и выберите управляемое разбиение диска с зашифрованным LVM. Преобразовать уже работающую корневую файловую систему на месте технически возможно, но риск того не стоит. - **Добавьте SSH-сервер, работающий до загрузки.** apt install dropbear-initramfs, затем поместите свой публичный ключ в /etc/dropbear/initramfs/authorized_keys. Это отдельный набор ключей, не связанный с обычным SSH, — используйте выделенный ключ. - **Заприте его.** В /etc/dropbear/initramfs/dropbear.conf задайте DROPBEAR_OPTIONS="-I 180 -j -k -p 2222 -s": без входа по паролю, без переадресации портов, собственный порт и тайм-аут простоя, чтобы зависшая сессия не держала загрузку открытой. - **Дайте initramfs сеть.** Добавьте статический параметр ip= в GRUB_CMDLINE_LINUX в файле /etc/default/grub — формат такой: ip=address::gateway:netmask::interface:off. Расчёт на DHCP на этом этапе — типичный способ остаться без доступа. - **Пересоберите и перезагрузитесь.** update-initramfs -u && update-grub, затем перезагрузитесь и подключитесь командой ssh -p 2222 root@your-server, после чего выполните cryptroot-unlock. Клиент предупредит о неизвестном ключе хоста: у initramfs свой собственный ключ, это ожидаемо, и его стоит закрепить отдельной записью в known_hosts. - **Проверьте путь отказа заранее, до того как на него придётся положиться.** Установите обновление ядра, перезагрузитесь, разблокируйте снова. Обновления ядра пересобирают initramfs, и именно тогда всплывает ошибка конфигурации. **Не развёртывайте это без внеполосной консоли.** Если dropbear не поднимается, SSH вам не поможет — единственный путь назад — консоль, работающая ещё до операционной системы. На каждом VPS AnonPort есть доступ к консоли через VNC, а на каждом выделенном сервере — полноценный IPMI/KVM, так что путь восстановления существует. У провайдера без этого схема один — единственный ответственный выбор. ## Два параметра, которые важны, и ловушка небольшого VPS LUKS2 по умолчанию использует AES-XTS с 512-битным ключом и вывод ключа через Argon2id. Оба выбора верны. Ручная настройка шифра — способ одновременно замедлить и ослабить систему, а интернет полон скопированных командных строк, которые делают именно это. Однако две вещи заслуживают внимания. ### Производительность — не проблема, пока не становится ею Проверьте аппаратное ускорение командой grep -m1 -o aes /proc/cpuinfo и измерьте его командой cryptsetup benchmark. На любом CPU с AES-NI — а таковы все узлы, на которых мы работаем, — AES-XTS обрабатывает несколько гигабайт в секунду на ядро, что с запасом превышает то, что способен отдать один виртуальный диск, поэтому заметная цена — несколько процентов CPU при интенсивном I/O и небольшой рост задержки. Без AES-NI картина переворачивается, и шифрование становится узким местом; это тот единственный случай, когда альтернативный шифр — реальное решение, а не карго-культ. ### Именно память Argon2id создаёт проблему Argon2id намеренно требователен к памяти, и cryptsetup калибрует его во время форматирования по объёму RAM той машины, на которой идёт форматирование. Отформатируйте том на рабочей станции с 32 ГБ RAM, перенесите его на VPS с 1 ГБ RAM — и разблокировка может провалиться напрямую, потому что памяти, которую требует вывод ключа, попросту нет, а внутри initramfs всё ещё хуже, поскольку доступно значительно меньше памяти, чем в работающей системе. На небольших инстансах зафиксируйте значение: cryptsetup luksFormat --type luks2 --pbkdf argon2id --pbkdf-memory 262144 /dev/vdb ограничивает его 256 МБ. Меньшее значение — это реальное снижение стойкости к офлайн-перебору, поэтому компенсируйте его более длинной парольной фразой. Один необязательный флаг заслуживает осознанного решения, а не бездумного копирования: --allow-discards пропускает TRIM к нижележащему устройству, что полезно для износа SSD и стабильной производительности, но заодно раскрывает, какая часть тома используется и примерно где. По умолчанию он выключен. Включайте его, понимая, что именно он раскрывает. ## Swap, журналы, снапшоты — то, что забывают Зашифрованное хранилище, вокруг которого протекает открытый текст, — самый распространённый из всех сбоев, и он остаётся незаметным, пока кто-то не присмотрится. - **Swap.** Всё, что находится в памяти, может быть выгружено на диск — включая материалы, которые вы аккуратно поместили в хранилище. Либо отключите swap, либо выдавайте ему случайный ключ на каждой загрузке строкой /etc/crypttab вида swap /dev/vdb1 /dev/urandom swap,cipher=aes-xts-plain64,size=256. - **Всё, что пишет туда, куда вы не смотрели.** /var/log, /tmp, каталог данных базы, /var/lib/docker, история команд оболочки, журналы systemd. Шифрование /srv/vault при том, что PostgreSQL пишет в /var/lib/postgresql, не даёт ровным счётом ничего. Составьте полный список, прежде чем шифровать. - **Снапшоты.** Блочный снапшот зашифрованного тома — это шифротекст, и потому с ним всё в порядке. Снапшот, фиксирующий состояние памяти, — совершенно другой объект и может содержать ключ. Прежде чем использовать панель провайдера, выясните, какой именно снапшот она делает. - **Резервные копии.** Решать эту задачу на стороне назначения — неправильный подход. Такие инструменты, как restic и BorgBackup, шифруют на стороне источника ключом, который получатель никогда не видит, поэтому [сервер резервного копирования](https://anonport.com/ru/use-cases/backup-server-hosting) может быть обычной машиной в другой юрисдикции, а не доверенной. - **Открытый текст, который вы уже куда-то отправили.** Шифрование в состоянии покоя не действует задним числом. Всё, что уже скопировано, отправлено по почте или синхронизировано в другое место, остаётся за пределами границы, которую вы проводите только сейчас. ## Где живёт ключ — в этом вся конструкция Каждая из перечисленных выше схем — это, по сути, утверждение о хранении ключа. Существует четыре варианта, и они не равноценны: - **В голове, вводится при каждой загрузке.** Максимальная защита, максимальное эксплуатационное неудобство. Машину действительно нельзя прочитать без вас. - **В файле на зашифрованной машине.** Защищает от наивной перепродажи диска и больше ни от чего. Если этот файл лежит на открытом /boot, он не защищает вообще ни от чего — самая распространённая ошибка в самостоятельно настроенном шифровании. - **На контролируемой вами машине, получается по сети.** Clevis, привязанный к серверу Tang: clevis luks bind -d /dev/vdb tang '{"url":"https://tang.example.net"}'. Сервер загружается без участия человека, пока может дотянуться до «дома», и отказывается разблокироваться где-либо ещё. Отлично подходит для безголовых парков серверов и делает хост Tang тем объектом, который необходимо защищать. - **В TPM.** Имеет смысл на оборудовании, которым вы владеете. На VPS виртуальный TPM предоставляет тот же гипервизор, который вы пытаетесь исключить из доверия, так что он решает вопрос удобства, а не доверия. Один тест проясняет большинство конструкций: **если машина может дойти до приглашения входа без вас, значит, ключ находится на машине.** Это вполне может быть разумным компромиссом — многим нагрузкам важнее необслуживаемая перезагрузка, чем устойчивость к целеустремлённому противнику. Делайте этот выбор осознанно и не выдавайте результат за нечто иное. ## Что видит ваш хостер и где начинается юрисдикция На VPS под вами находится гипервизор. Мы не читаем память гостевых систем и не храним журналы трафика, соединений или DNS-запросов, а также не ведём консольный журнал — но это политики, и честная формулировка такова, что VPS просит вас им довериться. На bare metal между вами и кремнием гипервизора нет: полнодисковое шифрование, настроенное при установке с парольной фразой, которую мы никогда не получаем, — это физическое свойство машины, а не заверение с нашей стороны. Именно эта разница, а не выбор шифра, и есть то, между чем вы на самом деле выбираете. Поэтому шифрование и юрисдикция — это две половины одного ответа. Шифрование определяет, чего стоит копия вашего диска; юрисдикция определяет, кто может принудить к выдаче машины, через какую процедуру и насколько быстро. Мы работаем в семи юрисдикциях — Исландия, Швейцария, Панама, Румыния, Молдова, Нидерланды и Россия, — и обоснование выбора между ними изложено в нашем [гайде по юрисдикциям](https://anonport.com/ru/guides/choosing-an-offshore-jurisdiction), а в сжатом виде — через [селектор юрисдикций](https://anonport.com/ru/jurisdiction-selector) и [страницу локаций](https://anonport.com/ru/locations). Единственное, чего шифрование коснуться не может, — это принудительное раскрытие, потому что оно направлено на вас, а не на оборудование. Великобритания, Франция и Австралия — среди стран, чьи законы могут обязать человека предоставить ключ дешифрования под угрозой наказания за отказ. Эта уязвимость определяется тем, где находитесь *вы*, а не где находится сервер, и никакая настройка на машине этого не меняет. Регистрация без документов, удостоверяющих личность, с самого начала ограничивает объём бумажного следа — практичная, не самая эффектная причина, по которой [хостинг без KYC](https://anonport.com/ru/no-kyc-hosting) и шифрование в итоге оказываются одной темой, — но это не защита от суда, которому уже известно ваше имя. ## Девять ошибок, превращающих шифрование в декорацию - **Автоматическая разблокировка из файла ключа на том же диске.** Так устроено большинство «зашифрованных» серверов — это равносильно тому, чтобы оставить ключ в замке. - **Шифрование тома, до которого чувствительные данные никогда не доходят.** Хранилище пустует, а база данных находится не в нём. - **Отсутствие резервной копии заголовка LUKS.** Один повреждённый сектор в начале контейнера — и все байты за ним потеряны навсегда. - **Отсутствие проверки пути разблокировки.** Затем обновление ядра пересобирает initramfs, и следующая перезагрузка превращается в спасательную операцию. - **Форматирование на большой машине и разблокировка на маленькой.** Argon2id требует память, которую VPS предоставить не может, и том не откроется. - **Выбор парольной фразы как обычного пароля для входа.** Ничто не ограничивает скорость офлайн-атаки, кроме функции вывода ключа. Именно длина покупает время. - **Миграция открытых данных в шифрование в предположении, что оригинал исчез.** На виртуализированном хранилище перезапись не гарантирует стирание. - **Отправка парольной фразы по тому же каналу, что используется для администрирования машины.** [OpSec сервера](https://anonport.com/ru/guides/server-opsec-staying-anonymous) разбирает проблему корреляции, которую это создаёт. - **Путаница между шифрованием провайдера и собственным.** «Вся инфраструктура зашифрована в состоянии покоя» — включая нашу — защищает инфраструктуру. От самой инфраструктуры защищает только ключ, которым владеете вы. ## Так стоит ли делать это на VPS? Да, при трезвых ожиданиях. За час работы и без сколько-нибудь заметных эксплуатационных затрат зашифрованный том с данными устраняет целый класс угроз, от которого иначе защититься нельзя, — и устраняет его навсегда: выведенное из эксплуатации оборудование, переизданное хранилище, выключенная машина в чужом распоряжении. Делайте хотя бы это на каждом сервере, хранящем что-либо важное, сразу после [чек-листа первого часа](https://anonport.com/ru/guides/first-hour-vps-hardening-checklist). Чего это не делает — так это не превращает арендованный компьютер в ваш собственный. Если в вашей модели угроз противником выступает сам хостер, никакой шифр этого не исправит — ответ здесь: [выделенное оборудование](https://anonport.com/ru/dedicated), где ключ вводится через IPMI и никогда не проходит через гипервизор, осознанно выбранная юрисдикция и дисциплина не размещать на сервере ничего лишнего. Соответствие меры защиты реальной угрозе — вот в чём разница между приватностью и её видимостью. FAQ ## Шифрование сервера — частые вопросы ### 01 Защищает ли полнодисковое шифрование мой VPS от хостинг-провайдера? Нет, пока сервер работает. После разблокировки тома ключ находится в памяти ядра на физическом хосте, а противник на уровне гипервизора может получить доступ к памяти. От чего шифрование действительно защищает — так это от любого, кто завладеет вашим накопителем, пока том закрыт: списанные или перепроданные диски, переизданный том, машина, изъятая в выключенном состоянии. Если ваша модель угроз действительно включает сам хостинг, ответ — выделенный bare metal, зашифрованный при установке, с парольной фразой, которую хостинг никогда не получает, а не другой шифр на VPS. ### 02 Можно ли зашифровать уже существующий VPS без переустановки? Данные можно зашифровать без переустановки: создайте файл-контейнер LUKS командой fallocate, отформатируйте его командой cryptsetup luksFormat, откройте его, разместите на нём файловую систему и перенесите внутрь базу данных, почтовое хранилище и ключи. Это занимает около пятнадцати минут и не требует простоя, кроме перезапуска затронутых сервисов. Шифрование корневой файловой системы на месте — другое дело: это возможно, но ненадёжно, а переустановка с собственного ISO с зашифрованным LVM одновременно быстрее и безопаснее. ### 03 Как работает удалённая разблокировка, если у консоли никого нет? Небольшой SSH-сервер, dropbear, встроен в initramfs и запускается ещё до открытия зашифрованного корня. Вы устанавливаете dropbear-initramfs, добавляете публичный ключ, даёте initramfs статический IP, пересобираете его, а на каждой загрузке подключаетесь на порт dropbear и выполняете cryptroot-unlock. Парольную фразу вводите вы сами, и на сервере она никогда не хранится. Не разворачивайте это без внеполосной консоли — VNC на VPS, IPMI на выделенном сервере, — потому что если dropbear не поднимется, SSH вас не спасёт. ### 04 Замедляет ли LUKS работу сервера? На любом CPU с аппаратным ускорением AES-NI — практически нет. AES-XTS работает со скоростью в несколько гигабайт в секунду на ядро, что превышает то, что способен отдать один виртуальный диск, поэтому практическая цена — несколько процентов CPU при интенсивном I/O и небольшой рост задержки. Запустите cryptsetup benchmark на своей машине, чтобы увидеть реальные цифры. Без AES-NI накладные расходы становятся заметными, и это единственная ситуация, где стоит рассмотреть альтернативный шифр. ### 05 Что произойдёт, если я потеряю парольную фразу? Данные потеряны. Не существует ни механизма восстановления, ни сброса на стороне провайдера, ни чёрного хода — именно это свойство вы и покупали. Два действия снижают риск: LUKS2 поддерживает несколько слотов ключей, поэтому добавьте вторую длинную парольную фразу или файл ключа, хранящийся отдельно, и сделайте резервную копию заголовка LUKS командой cryptsetup luksHeaderBackup, храня её вне сервера. Повреждённый заголовок уничтожает том так же полно, как и забытая парольная фраза. ### 06 Законно ли шифрование диска, и могут ли меня заставить выдать ключ? Использование шифрования диска законно во всех семи юрисдикциях, где мы работаем, и это обычная практика, а не подозрительное действие. Принудительное раскрытие — отдельный вопрос, и оно следует за человеком, а не за оборудованием: Великобритания, Франция и Австралия — среди стран, чьи законы могут обязать предоставить ключ дешифрования под угрозой наказания за отказ. Это определяется тем, где вы находитесь и какой суд имеет над вами юрисдикцию, и никакая настройка сервера этого не меняет. ### 07 Помогает ли шифрование, если сервер захватывают работающим? Нет. На работающем сервере том смонтирован, а ключ находится в памяти, поэтому любой, у кого есть доступ, читает файловую систему точно так же, как и вы, — именно поэтому оборудование обычно изымают включённым. Шифрование в состоянии покоя защищает закрытый том. Если внезапная потеря контроля над машиной входит в вашу модель угроз, помогает следующее: хранить на машине меньше, держать резервные копии в другом месте, зашифрованными на стороне источника, и выбирать юрисдикцию, где юридическая процедура доступа к машине медленная и узкая. ### 08 Настолько ли безопасен файл-контейнер LUKS, как шифрование целого блочного устройства? С криптографической точки зрения — да: в обоих случаях применяются один и тот же заголовок LUKS2, шифр и вывод ключа, а после открытия контейнер ведёт себя как блочное устройство. Отдельный диск немного аккуратнее и избегает фрагментации на файловой системе хоста, но на VPS с одним диском файл-контейнер — стандартный подход, не жертвующий ничем существенным. На безопасность влияет не формат контейнера, а то, где живёт ключ и какие данные вы туда на самом деле помещаете. Похожие руководства ## Читайте также [### Как выбрать офшорную юрисдикцию для хостинга в 2026 году Перед покупкой Как выбрать офшорную юрисдикцию для хостинга: законы о хранении данных, MLAT, позиция по DMCA, скорость судов и реальное правоприменение по странам. FAQ из 6 вопросов](https://anonport.com/ru/guides/choosing-an-offshore-jurisdiction) [### VPS или выделенный сервер для приватных задач Перед покупкой Когда достаточно VPS, когда соседи по хосту — риск, а когда честный ответ только bare metal: изоляция железа, риск гипервизора, цена против модели угроз. FAQ из 6 вопросов](https://anonport.com/ru/guides/vps-vs-dedicated-for-privacy) [### Собственный VPN на VPS без KYC: WireGuard против OpenVPN Эксплуатация Почему свой VPN лучше коммерческого и как WireGuard и OpenVPN реально сравниваются по приватности, скорости и операционным рискам в 2026 году. FAQ из 6 вопросов](https://anonport.com/ru/guides/self-hosted-vpn-wireguard-vs-openvpn) [### RTX 4090 vs H100 для AI-инференса (и RTX 5090) Перед покупкой Какой GPU NVIDIA для self-hosted LLM, картинок, видео и речи в 2026: RTX 4090 vs RTX 5090 vs H100 SXM5 по VRAM, пропускной способности и $/токен. FAQ из 6 вопросов](https://anonport.com/ru/guides/rtx-4090-vs-h100-for-ai-inference) [### Офшорный Windows RDP для форекс-трейдинга MT4 / MT5 / cTrader Эксплуатация Зачем Windows RDP для форекса, как выбрать офшорную юрисдикцию с низкой задержкой, настройка MT4/MT5/cTrader и советников, пинг до брокера, оплата без KYC. FAQ из 6 вопросов](https://anonport.com/ru/guides/offshore-windows-rdp-for-forex-trading) [### Хостинг, игнорирующий DMCA: что это значит в 2026 Перед покупкой Что реально даёт хостинг с игнорированием DMCA, какие юрисдикции его обеспечивают, каким задачам он нужен и какие ловушки авторского права он не закрывает. FAQ из 6 вопросов](https://anonport.com/ru/guides/dmca-ignored-hosting-explained) [### Анонимная регистрация домена за крипту — гайд 2026 Конфиденциальность Регистрация домена без раскрытия личности: правила WHOIS по TLD, выбор регистратора, оплата криптовалютой и операционные ошибки, которые всё равно вас выдают. FAQ из 6 вопросов](https://anonport.com/ru/guides/anonymous-domain-registration-with-crypto) [### Криптоплатежи за хостинг: Monero против Bitcoin против USDT Конфиденциальность Как монета, которой вы платите, меняет то, что хостер узнаёт о вас: приватность, комиссии, финальность и риск анализа цепочки для XMR, BTC и USDT. FAQ из 6 вопросов](https://anonport.com/ru/guides/crypto-payments-monero-vs-bitcoin-vs-usdt) [### Действительно ли офшорный хостинг анонимен? Честный ответ Конфиденциальность Офшорный хостинг без KYC убирает личность, которую собирает обычный хостер, но анонимность зависит от оплаты, логов и вашего OpSec. Что отслеживаемо. FAQ из 6 вопросов](https://anonport.com/ru/guides/is-offshore-hosting-truly-anonymous) [### Первый час защиты VPS: чек-лист Эксплуатация Упорядоченный чек-лист защиты нового VPS за час: SSH-ключи, файрвол, fail2ban, автообновления и сокращение поверхности атаки против массовых сканеров. FAQ из 6 вопросов](https://anonport.com/ru/guides/first-hour-vps-hardening-checklist) [### Что такое хостинг без KYC? Определение и законность Конфиденциальность Хостинг без KYC — аренда сервера без проверки личности: ни имени, ни email, ни документов. Что это значит, как работает, законно ли и как выбрать. FAQ из 6 вопросов](https://anonport.com/ru/guides/what-is-no-kyc-hosting) [### Законен ли офшорный хостинг? Честный ответ 2026 года Перед покупкой Офшорный хостинг законен — для вас и для провайдера. Что значит термин, где юридическая граница, какие мифы отбросить, как пользоваться ответственно. FAQ из 6 вопросов](https://anonport.com/ru/guides/is-offshore-hosting-legal) [### Как оплатить хостинг через Monero (XMR) — пошагово Конфиденциальность Пошагово: оплата VPS или выделенного сервера в Monero (XMR). Почему XMR — самый приватный вариант, где его взять и как проходит оплата от счёта до сервера. FAQ из 6 вопросов](https://anonport.com/ru/guides/how-to-pay-for-hosting-with-monero) [### Как анонимно разместить сайт — практическое руководство 2026 Конфиденциальность Послойное руководство по хостингу сайта без привязки личности: аккаунт, оплата, домен, юрисдикция, ваше подключение и контент — каждый слой разобран. FAQ из 6 вопросов](https://anonport.com/ru/guides/how-to-host-a-website-anonymously) [### Как настроить WireGuard VPN на VPS — пошаговое руководство Эксплуатация Свой приватный VPN на VPS с WireGuard: почему self-hosted лучше коммерческого, полная настройка от установки до подключённого клиента и как её укрепить. FAQ из 6 вопросов](https://anonport.com/ru/guides/how-to-set-up-wireguard-vpn-on-a-vps) [### Как развернуть LLM на GPU-сервере — гайд 2026 Эксплуатация Своя LLM на арендованном GPU-сервере: почему self-hosting выгоднее API, какой GPU и модель выбрать, настройка через Ollama или vLLM и сколько это стоит. FAQ из 6 вопросов](https://anonport.com/ru/guides/self-host-an-llm-on-a-gpu-server) [### Bulletproof-хостинг против офшорного хостинга — в чём разница? Перед покупкой Bulletproof-хостинг и офшорный хостинг постоянно путают, хотя это разные вещи. В чём реальная разница, почему это важно и что вам на самом деле нужно. FAQ из 6 вопросов](https://anonport.com/ru/guides/bulletproof-vs-offshore-hosting) [### Как купить VPS за Bitcoin — пошаговая инструкция (2026) Перед покупкой Понятная инструкция по покупке VPS за Bitcoin: как получить BTC, выбрать тариф, оплатить счёт и получить сервер без карты и без имени. FAQ из 6 вопросов](https://anonport.com/ru/guides/how-to-buy-a-vps-with-bitcoin) [### Лучшие страны для хостинга, игнорирующего DMCA, в 2026 году Перед покупкой Где хостить, чтобы быть вне лёгкой досягаемости американских takedown-запросов: какие юрисдикции работают, что значит DMCA-ignored и как выбрать. FAQ из 6 вопросов](https://anonport.com/ru/guides/best-countries-for-dmca-ignored-hosting) [### Как разместить скрытый сервис Tor (.onion) — 2026 Эксплуатация Onion-сервис Tor на VPS: что такое скрытый сервис, почему это самая сильная форма анонимного хостинга, полная настройка и как сохранить анонимность. FAQ из 6 вопросов](https://anonport.com/ru/guides/how-to-host-a-tor-hidden-service) [### Офшорный почтовый сервер — своя приватная почта Эксплуатация Свой приватный почтовый сервер на офшорном VPS: зачем self-host, что нужно, реалистичная настройка mail-стека «всё в одном» и как добиться доставляемости. FAQ из 6 вопросов](https://anonport.com/ru/guides/offshore-mail-server-setup) [### Хостинг криптонод — блокчейн-нода на VPS Эксплуатация Как разместить блокчейн-ноду на сервере: зачем своя нода, подбор сервера для Bitcoin, Ethereum, Monero и других, настройка и сохранение приватности. FAQ из 6 вопросов](https://anonport.com/ru/guides/crypto-node-hosting-guide) [### GPU-хостинг для Stable Diffusion — свой сервер генерации Эксплуатация Stable Diffusion на своём GPU-сервере: зачем self-host генерации картинок, какой GPU выбрать, настройка веб-интерфейса и цена против облачного сервиса. FAQ из 6 вопросов](https://anonport.com/ru/guides/gpu-hosting-for-stable-diffusion) [### OpSec сервера — как оставаться анонимным Конфиденциальность Операционная безопасность для тех, кто держит анонимный сервер: ошибки, которые деанонимизируют, привычки, которые их предотвращают, разделение личностей. FAQ из 6 вопросов](https://anonport.com/ru/guides/server-opsec-staying-anonymous) [### Настройка сидбокса — свой приватный seedbox в 2026 Эксплуатация Как собрать свой seedbox на сервере: что это, как подобрать ресурсы, установка торрент-клиента с веб-интерфейсом и как сохранить приватность и безопасность. FAQ из 6 вопросов](https://anonport.com/ru/guides/seedbox-setup-guide) [### Как обойти DPI-цензуру с помощью собственного VPS (гайд 2026) Конфиденциальность Обход DPI-цензуры со своим VPS: что реально видит глубокая инспекция пакетов, какой протокол пробивает какую блокировку, полная настройка VLESS+REALITY. FAQ из 6 вопросов](https://anonport.com/ru/guides/bypass-dpi-censorship-with-your-own-vps) [### Скрытие IP исходного сервера: CDN, обратный прокси и утечки Конфиденциальность Ставить ли CDN перед офшорным сервером: что он скрывает, какой канал для жалоб вы получаете взамен, шесть способов утечки исходного IP и как проверить свой. FAQ из 8 вопросов](https://anonport.com/ru/guides/hiding-your-origin-server-ip) [### Бэкапы VPS: шифрование, второй провайдер, восстановление Эксплуатация Хостер не хранит бэкапы. Что реально уничтожает серверы, почему push-бэкапы гибнут вместе с ними, restic vs Borg, забытые ключи и тест восстановления. FAQ из 8 вопросов](https://anonport.com/ru/guides/vps-backup-strategy) [### Свой сервер Matrix: федерация, метаданные и E2EE Эксплуатация Что реально даёт homeserver Matrix: Synapse vs Conduit, server_name, который нельзя сменить, медиа, съедающие диск, и что федерация всё равно раскрывает. FAQ из 8 вопросов](https://anonport.com/ru/guides/self-host-a-matrix-server) [### Как перенести сайт на офшорный хостинг без простоя Эксплуатация Правильный переезд хостинга: заранее снизить TTL DNS, запустить оба сервера параллельно, заморозить запись на минуты, убрать следы в passive-DNS, CT и WHOIS. FAQ из 8 вопросов](https://anonport.com/ru/guides/migrate-website-to-offshore-hosting) [### Как развернуть свой криптоплатёжный шлюз на BTCPay Server Эксплуатация Некастодиальный приём оплаты на офшорном VPS с BTCPay Server, pruned-нодой Bitcoin, Lightning и Monero: размер диска, ключи и где снова возникает KYC. FAQ из 8 вопросов](https://anonport.com/ru/guides/self-host-a-crypto-payment-gateway) [### Защита VPS от DDoS: где кончается хостер и начинается L7 Эксплуатация Хостер фильтрует пакетные флуды, флуды запросов — ваши. Как работает очистка L3/L4, почему L7 проходит сквозь неё, какие кэш и лимиты держат сервер. FAQ из 8 вопросов](https://anonport.com/ru/guides/surviving-a-ddos-attack-on-your-vps) [### Лучшие офшорные хостинги 2026: сравнение 12 провайдеров Перед покупкой Сравнение 12 офшорных и анонимных хостингов: данные при регистрации, Monero, юрисдикции, политика DMCA и bare-metal, а также в чём проигрывает AnonPort. FAQ из 6 вопросов](https://anonport.com/ru/guides/best-offshore-hosting-providers) ## Шифруйте на оборудовании, выбранном под задачу KVM VPS с консолью VNC и загрузкой собственного ISO, либо выделенные bare-metal серверы с IPMI и LUKS при установке — в семи офшорных юрисдикциях, без KYC, оплата только криптовалютой. Ваша парольная фраза, ваш ключ, никакой привязки к личности. [Тарифы VPS](https://anonport.com/ru/vps) [Выделенные серверы](https://anonport.com/ru/dedicated) [Приватный хостинг](https://anonport.com/ru/anonymous-hosting) ## Structured data (JSON-LD) ```json { "@context": "https://schema.org", "@type": "Organization", "@id": "https://anonport.com/#organization", "name": "AnonPort", "url": "https://anonport.com", "description": "Офшорные VPS и выделенные серверы в 7 юрисдикциях. Без KYC, без логов, только криптовалюта. Приватность — не функция, а архитектура.", "logo": { "@type": "ImageObject", "url": "https://anonport.com/icon-512.png", "width": 512, "height": 512, "caption": "AnonPort" }, "image": "https://anonport.com/assets/img/og-image.jpg", "foundingDate": "2025", "areaServed": [ { "@type": "Country", "name": "Iceland" }, { "@type": "Country", "name": "Panama" }, { "@type": "Country", "name": "Moldova" }, { "@type": "Country", "name": "Romania" }, { "@type": "Country", "name": "Switzerland" }, { "@type": "Country", "name": "Netherlands" }, { "@type": "Country", "name": "Russia" } ], "knowsAbout": [ "Offshore hosting", "Offshore VPS", "Bare-metal dedicated servers", "DMCA-ignored hosting", "No KYC hosting", "Cryptocurrency payments", "Privacy engineering", "Token-based authentication", "Anonymous domain name registration", "No-KYC domain registrar", "WHOIS privacy", "Cheap .com domains", "Crypto-paid domain names", "NVIDIA GPU compute", "Windows RDP hosting", "Agentic commerce" ], "contactPoint": { "@type": "ContactPoint", "contactType": "customer support", "url": "https://anonport.com/contact", "availableLanguage": [ "en", "ru", "zh" ] } } ``` ```json { "@context": "https://schema.org", "@type": "WebSite", "@id": "https://anonport.com/#website", "url": "https://anonport.com", "name": "AnonPort", "publisher": { "@id": "https://anonport.com/#organization" }, "inLanguage": [ "en", "ru", "zh" ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "headline": "Полнодисковое шифрование VPS: настройка LUKS", "description": "Шифрование VPS с LUKS: шифрованные тома, полное шифрование с удалённой разблокировкой по SSH, важные настройки для малого сервера и что это реально даёт.", "image": "https://anonport.com/assets/img/guides/full-disk-encryption-on-a-vps.webp?v=1787136235", "author": { "@type": "Organization", "@id": "https://anonport.com/#editorial", "name": "AnonPort Editorial", "url": "https://anonport.com/about", "description": "Operator-side editorial team writing about offshore hosting jurisdictions, offshore server architecture, self-hosted privacy stacks and crypto payments.", "knowsAbout": [ "Offshore hosting jurisdictions", "Data retention law", "MLAT and judicial cooperation", "WireGuard and OpenVPN deployment", "Tor relay operation", "Monero and Bitcoin payment privacy", "KVM virtualization and bare-metal hosting", "DMCA-ignored hosting" ], "parentOrganization": { "@id": "https://anonport.com/#organization" } }, "publisher": { "@id": "https://anonport.com/#organization" }, "datePublished": "2026-08-19T00:00:00+00:00", "dateModified": "2026-08-19T00:00:00+00:00", "mainEntityOfPage": "https://anonport.com/guides/full-disk-encryption-on-a-vps", "inLanguage": "ru", "keywords": "VPS full disk encryption, encrypt VPS with LUKS, LUKS remote unlock dropbear, encrypted VPS hosting, cryptsetup LUKS2 setup, encryption at rest server, protect data if server is seized, dedicated server disk encryption", "articleSection": "Эксплуатация", "wordCount": 3654 } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Защищает ли полнодисковое шифрование мой VPS от хостинг-провайдера?", "acceptedAnswer": { "@type": "Answer", "text": "Нет, пока сервер работает. После разблокировки тома ключ находится в памяти ядра на физическом хосте, а противник на уровне гипервизора может получить доступ к памяти. От чего шифрование действительно защищает — так это от любого, кто завладеет вашим накопителем, пока том закрыт: списанные или перепроданные диски, переизданный том, машина, изъятая в выключенном состоянии. Если ваша модель угроз действительно включает сам хостинг, ответ — выделенный bare metal, зашифрованный при установке, с парольной фразой, которую хостинг никогда не получает, а не другой шифр на VPS." } }, { "@type": "Question", "name": "Можно ли зашифровать уже существующий VPS без переустановки?", "acceptedAnswer": { "@type": "Answer", "text": "Данные можно зашифровать без переустановки: создайте файл-контейнер LUKS командой fallocate, отформатируйте его командой cryptsetup luksFormat, откройте его, разместите на нём файловую систему и перенесите внутрь базу данных, почтовое хранилище и ключи. Это занимает около пятнадцати минут и не требует простоя, кроме перезапуска затронутых сервисов. Шифрование корневой файловой системы на месте — другое дело: это возможно, но ненадёжно, а переустановка с собственного ISO с зашифрованным LVM одновременно быстрее и безопаснее." } }, { "@type": "Question", "name": "Как работает удалённая разблокировка, если у консоли никого нет?", "acceptedAnswer": { "@type": "Answer", "text": "Небольшой SSH-сервер, dropbear, встроен в initramfs и запускается ещё до открытия зашифрованного корня. Вы устанавливаете dropbear-initramfs, добавляете публичный ключ, даёте initramfs статический IP, пересобираете его, а на каждой загрузке подключаетесь на порт dropbear и выполняете cryptroot-unlock. Парольную фразу вводите вы сами, и на сервере она никогда не хранится. Не разворачивайте это без внеполосной консоли — VNC на VPS, IPMI на выделенном сервере, — потому что если dropbear не поднимется, SSH вас не спасёт." } }, { "@type": "Question", "name": "Замедляет ли LUKS работу сервера?", "acceptedAnswer": { "@type": "Answer", "text": "На любом CPU с аппаратным ускорением AES-NI — практически нет. AES-XTS работает со скоростью в несколько гигабайт в секунду на ядро, что превышает то, что способен отдать один виртуальный диск, поэтому практическая цена — несколько процентов CPU при интенсивном I/O и небольшой рост задержки. Запустите cryptsetup benchmark на своей машине, чтобы увидеть реальные цифры. Без AES-NI накладные расходы становятся заметными, и это единственная ситуация, где стоит рассмотреть альтернативный шифр." } }, { "@type": "Question", "name": "Что произойдёт, если я потеряю парольную фразу?", "acceptedAnswer": { "@type": "Answer", "text": "Данные потеряны. Не существует ни механизма восстановления, ни сброса на стороне провайдера, ни чёрного хода — именно это свойство вы и покупали. Два действия снижают риск: LUKS2 поддерживает несколько слотов ключей, поэтому добавьте вторую длинную парольную фразу или файл ключа, хранящийся отдельно, и сделайте резервную копию заголовка LUKS командой cryptsetup luksHeaderBackup, храня её вне сервера. Повреждённый заголовок уничтожает том так же полно, как и забытая парольная фраза." } }, { "@type": "Question", "name": "Законно ли шифрование диска, и могут ли меня заставить выдать ключ?", "acceptedAnswer": { "@type": "Answer", "text": "Использование шифрования диска законно во всех семи юрисдикциях, где мы работаем, и это обычная практика, а не подозрительное действие. Принудительное раскрытие — отдельный вопрос, и оно следует за человеком, а не за оборудованием: Великобритания, Франция и Австралия — среди стран, чьи законы могут обязать предоставить ключ дешифрования под угрозой наказания за отказ. Это определяется тем, где вы находитесь и какой суд имеет над вами юрисдикцию, и никакая настройка сервера этого не меняет." } }, { "@type": "Question", "name": "Помогает ли шифрование, если сервер захватывают работающим?", "acceptedAnswer": { "@type": "Answer", "text": "Нет. На работающем сервере том смонтирован, а ключ находится в памяти, поэтому любой, у кого есть доступ, читает файловую систему точно так же, как и вы, — именно поэтому оборудование обычно изымают включённым. Шифрование в состоянии покоя защищает закрытый том. Если внезапная потеря контроля над машиной входит в вашу модель угроз, помогает следующее: хранить на машине меньше, держать резервные копии в другом месте, зашифрованными на стороне источника, и выбирать юрисдикцию, где юридическая процедура доступа к машине медленная и узкая." } }, { "@type": "Question", "name": "Настолько ли безопасен файл-контейнер LUKS, как шифрование целого блочного устройства?", "acceptedAnswer": { "@type": "Answer", "text": "С криптографической точки зрения — да: в обоих случаях применяются один и тот же заголовок LUKS2, шифр и вывод ключа, а после открытия контейнер ведёт себя как блочное устройство. Отдельный диск немного аккуратнее и избегает фрагментации на файловой системе хоста, но на VPS с одним диском файл-контейнер — стандартный подход, не жертвующий ничем существенным. На безопасность влияет не формат контейнера, а то, где живёт ключ и какие данные вы туда на самом деле помещаете." } } ] } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Главная", "item": "https://anonport.com/ru/" }, { "@type": "ListItem", "position": 2, "name": "Руководства по приватному хостингу", "item": "https://anonport.com/ru/guides" }, { "@type": "ListItem", "position": 3, "name": "Полнодисковое шифрование VPS: настройка LUKS", "item": "https://anonport.com/ru/guides/full-disk-encryption-on-a-vps" } ] } ``` ```json { "@context": "https://schema.org", "@type": "HowTo", "name": "Полнодисковое шифрование VPS", "description": "Шифрование VPS с LUKS: шифрованные тома, полное шифрование с удалённой разблокировкой по SSH, важные настройки для малого сервера и что это реально даёт.", "image": "https://anonport.com/assets/img/guides/full-disk-encryption-on-a-vps.webp?v=1787136235", "inLanguage": "ru", "totalTime": "PT1H", "step": [ { "@type": "HowToStep", "position": 1, "name": "От чего шифрование в состоянии покоя действительно защищает", "text": "Шифрование в состоянии покоя означает, что байты на носителе представляют собой шифротекст, пока том закрыт. Это узкое утверждение, и его ценность зависит от одной-единственной переменной: где находится ключ в момент, когда появляется противник. СитуацияПомогает ли LUKS? Диск списан, возвращён по…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#От-чего-шифрование-в-состоянии-покоя-действительно-защищает" }, { "@type": "HowToStep", "position": 2, "name": "Почему VPS — не ноутбук", "text": "На ноутбуке логика очевидна сама по себе. Вы вводите парольную фразу при загрузке, ключ существует только в RAM, пока машина включена, а выключение ставит точку в этой истории. У сервера никого нет за консолью. Ключ должен подавать что-то на каждой загрузке, и каждый кандидат на роль этого «что-т…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#Почему-vps-не-ноутбук" }, { "@type": "HowToStep", "position": 3, "name": "Три схемы развёртывания, которые того стоят", "text": "Единственно правильной настройки не существует — есть та, чей сценарий отказа вам по силам пережить. Эти три схемы охватывают практически все реальные случаи. СхемаЧто защищаетЦена перезагрузкиРиск блокировки 1. Зашифрованный том с данными, открываемый вручную после загрузкиВажные данные — база д…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#Три-схемы-развёртывания-которые-того-стоят" }, { "@type": "HowToStep", "position": 4, "name": "Шифрование тома с данными на работающем VPS", "text": "Это схема, к которой стоит обращаться в первую очередь. Ничего не переустанавливается, процесс загрузки никак не меняется, а худший исход при ошибке — файл-контейнер, который можно просто выбросить. Пятнадцать минут на живом сервере с Debian или Ubuntu. Установите инструментарий. apt install cryp…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#Шифрование-тома-с-данными-на-работающем-vps" }, { "@type": "HowToStep", "position": 5, "name": "Полное шифрование корня с удалённой разблокировкой по SSH", "text": "Когда требование таково, что при захвате выключенной машины не должно уцелеть ничего читаемого — ни журналы, ни история команд оболочки, ни списки пакетов, ни сама форма того, что вы запускаете, — внутри контейнера должна оказаться и корневая файловая система. Тогда задача сводится к тому, как пе…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#Полное-шифрование-корня-с-удалённой-разблокировкой-по-ssh" }, { "@type": "HowToStep", "position": 6, "name": "Два параметра, которые важны, и ловушка небольшого VPS", "text": "LUKS2 по умолчанию использует AES-XTS с 512-битным ключом и вывод ключа через Argon2id. Оба выбора верны. Ручная настройка шифра — способ одновременно замедлить и ослабить систему, а интернет полон скопированных командных строк, которые делают именно это. Однако две вещи заслуживают внимания. Про…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#Два-параметра-которые-важны-и-ловушка-небольшого-vps" }, { "@type": "HowToStep", "position": 7, "name": "Swap, журналы, снапшоты — то, что забывают", "text": "Зашифрованное хранилище, вокруг которого протекает открытый текст, — самый распространённый из всех сбоев, и он остаётся незаметным, пока кто-то не присмотрится. Swap. Всё, что находится в памяти, может быть выгружено на диск — включая материалы, которые вы аккуратно поместили в хранилище. Либо о…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#swap-журналы-снапшоты-то-что-забывают" }, { "@type": "HowToStep", "position": 8, "name": "Где живёт ключ — в этом вся конструкция", "text": "Каждая из перечисленных выше схем — это, по сути, утверждение о хранении ключа. Существует четыре варианта, и они не равноценны: В голове, вводится при каждой загрузке. Максимальная защита, максимальное эксплуатационное неудобство. Машину действительно нельзя прочитать без вас. В файле на зашифро…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#Где-живёт-ключ-в-этом-вся-конструкция" }, { "@type": "HowToStep", "position": 9, "name": "Что видит ваш хостер и где начинается юрисдикция", "text": "На VPS под вами находится гипервизор. Мы не читаем память гостевых систем и не храним журналы трафика, соединений или DNS-запросов, а также не ведём консольный журнал — но это политики, и честная формулировка такова, что VPS просит вас им довериться. На bare metal между вами и кремнием гипервизор…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#Что-видит-ваш-хостер-и-где-начинается-юрисдикция" }, { "@type": "HowToStep", "position": 10, "name": "Девять ошибок, превращающих шифрование в декорацию", "text": "Автоматическая разблокировка из файла ключа на том же диске. Так устроено большинство «зашифрованных» серверов — это равносильно тому, чтобы оставить ключ в замке. Шифрование тома, до которого чувствительные данные никогда не доходят. Хранилище пустует, а база данных находится не в нём. Отсутстви…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#Девять-ошибок-превращающих-шифрование-в-декорацию" }, { "@type": "HowToStep", "position": 11, "name": "Так стоит ли делать это на VPS?", "text": "Да, при трезвых ожиданиях. За час работы и без сколько-нибудь заметных эксплуатационных затрат зашифрованный том с данными устраняет целый класс угроз, от которого иначе защититься нельзя, — и устраняет его навсегда: выведенное из эксплуатации оборудование, переизданное хранилище, выключенная маш…", "url": "https://anonport.com/guides/full-disk-encryption-on-a-vps#Так-стоит-ли-делать-это-на-vps" } ] } ```