Posso cifrare il disco di un VPS con LUKS?

Cosa dà davvero la cifratura di un disco VPS con LUKS?

LUKS dà la cifratura a riposo: chiunque copi il disco senza la passphrase ottiene rumore. Non protegge dall'host mentre il VPS è in esecuzione, perché la chiave sbloccata vive in memoria che l'hypervisor può leggere.

Per questo la cornice onesta conta. Gloamport dichiara che Virtualizzazione KVM completa: il suo kernel, le sue regole del firewall e la sua cifratura del disco, se la configura, il che rende possibile LUKS, e che Nessun piano include backup: conservi una copia di tutto ciò che non può perdere. Si abbini la cifratura ai propri backup. Per la questione più ampia di cosa sia e cosa non sia un VPS privato, si veda Cosa rende un VPS orientato alla privacy?.

Quale piano Gloamport è adatto a un volume cifrato?

Gloam è una taglia comoda: ha 2 vCPU, 4 GB di RAM e 80 GB NVMe di storage, e Gloamport lo elenca per "Un server Matrix, Vaultwarden e SearXNG insieme". La cifratura costa un po' di CPU, quindi un secondo core aiuta.

Secondo l'indagine di Gloamport su 10 novembre 2026, il prezzo mediano di un VPS comparabile da 2 vCPU e 4 GB tra 29 host era $31.29 al mese. Gloam costa $8.25 al mese con 12 mesi e $16.50 con 1 mese.

Quali sono i comandi LUKS esatti?

I comandi qui sotto seguono il manuale di cryptsetup. luksFormat inizializza il volume e imposta la prima passphrase, open crea il mapping, luksDump stampa l'header, e luksHeaderBackup salva un backup binario dell'header e dell'area degli slot di chiave. Il manuale dice che se l'header di un volume LUKS è danneggiato, tutti i dati sono persi in modo permanente, a meno di avere un backup dell'header.

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

umount /mnt/vault
cryptsetup close vault

Posso sbloccare da remoto un disco root cifrato con dropbear-initramfs?

Sì, se il sistema si avvia da una root cifrata, un piccolo server SSH nell'initramfs può ricevere la passphrase prima che il filesystem root venga montato. Questo richiede un'installazione predisposta con una root cifrata, un lavoro più grande del volume dati qui sopra; lo si tratti quindi come un passaggio avanzato e si verifichi che la propria immagine e il processo di avvio lo consentano.

Il pacchetto Debian dropbear-initramfs fornisce l'accesso SSH all'interno del RAM filesystem iniziale, per esempio per sbloccare dischi cifrati. La sua documentazione inserisce le chiavi pubbliche in /etc/dropbear/initramfs/authorized_keys e le opzioni in /etc/dropbear/initramfs/dropbear.conf, e dice di eseguire update-initramfs -u -k all dopo averle modificate. Sconsiglia anche di riutilizzare le chiavi host SSH principali, perché /boot di solito non è cifrato.

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

DROPBEAR_OPTIONS="-p 2222"

Come mantengo un VPS cifrato utilizzabile nel tempo?

Si faccia il backup dell'header, si scriva la passphrase offline e si conservi una copia propria dei dati, dato che il piano non ha backup. Il manuale di cryptsetup dice che il backup è obbligatorio anche per i dati cifrati, se i dati hanno un qualche valore.

Si blinzi anche la porta d'ingresso: Come proteggo SSH su un nuovo VPS? lo spiega, e Come genero una chiave SSH per il mio VPS? tratta la chiave. Piani e periodi sono nella pagina dei prezzi.