# Posso cifrare il disco di un VPS con LUKS? > Sì: LUKS2 cifra un volume su un VPS, ma l'host può vedere la RAM. Gloam, 2 vCPU e 4 GB, costa $8.25 al mese con 12 mesi. - URL: https://gloamport.com/it/guides/how-to-encrypt-a-vps-disk-with-luks/ - Ultimo aggiornamento: 2026-11-10 - Editore: Gloamport (https://gloamport.com) LUKS protegge i dati a riposo. Non nasconde un VPS in esecuzione alla macchina su cui gira, e questa pagina spiega dove passa il confine. **Risposta rapida — Posso cifrare il disco di un VPS con LUKS?** Sì, si può cifrare il disco di un VPS con LUKS, perché Gloamport offre la virtualizzazione KVM completa con il proprio kernel. Si crei un volume con cryptsetup luksFormat, lo si apra, lo si formatti e lo si monti. Un piano Gloam, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, costa $8.25 al mese con 12 mesi. ## Cosa protegge LUKS su un VPS, e cosa no? | Situazione | Protetto da LUKS? | Perché | | --- | --- | --- | | Una copia dell'immagine del disco o di uno snapshot | Sì | I dati su disco sono testo cifrato senza la passphrase | | Un VPS spento | Sì | La chiave non è in memoria | | Un VPS in esecuzione con il volume aperto | No | La chiave e il testo in chiaro si trovano in RAM, che la macchina host può leggere | | Qualcuno con root dentro il proprio VPS | No | Vede il volume montato | | Una passphrase persa o un header danneggiato | No | I dati vanno persi, a meno di aver fatto un backup dell'header | Il limite della RAM è una proprietà della virtualizzazione, non di Gloamport: qualsiasi host può leggere la memoria degli ospiti che gestisce. ## Cosa dà davvero la cifratura di un disco VPS con LUKS? LUKS dà la cifratura a riposo: chiunque copi il disco senza la passphrase ottiene rumore. Non protegge dall'host mentre il VPS è in esecuzione, perché la chiave sbloccata vive in memoria che l'hypervisor può leggere. Per questo la cornice onesta conta. Gloamport dichiara che Virtualizzazione KVM completa: il suo kernel, le sue regole del firewall e la sua cifratura del disco, se la configura, il che rende possibile LUKS, e che Nessun piano include backup: conservi una copia di tutto ciò che non può perdere. Si abbini la cifratura ai propri backup. Per la questione più ampia di cosa sia e cosa non sia un VPS privato, si veda [Cosa rende un VPS orientato alla privacy?](https://gloamport.com/it/privacy-focused-vps/ "Che cosa rende un VPS orientato alla privacy?"). ## Quale piano Gloamport è adatto a un volume cifrato? Gloam è una taglia comoda: ha 2 vCPU, 4 GB di RAM e 80 GB NVMe di storage, e Gloamport lo elenca per "Un server Matrix, Vaultwarden e SearXNG insieme". La cifratura costa un po' di CPU, quindi un secondo core aiuta. Secondo l'indagine di Gloamport su 10 novembre 2026, il prezzo mediano di un VPS comparabile da 2 vCPU e 4 GB tra 29 host era $31.29 al mese. Gloam costa $8.25 al mese con 12 mesi e $16.50 con 1 mese. ## Come cifro un volume su un VPS con LUKS, passo dopo passo? Sette passaggi per un volume dati contenuto in un file. Gli stessi comandi funzionano su un dispositivo a blocchi. 1. **Installo cryptsetup** — Esegua apt install cryptsetup come root. 2. **Creo il file contenitore** — Alloci un file della dimensione necessaria. cryptsetup associa da solo un file regolare a un dispositivo loop. 3. **Lo formatto come LUKS2** — Esegua cryptsetup --type luks2 luksFormat sul file e scelga una passphrase lunga. Questo cancella tutto ciò che è nel file. 4. **Creo un backup dell'header** — Esegua luksHeaderBackup e conservi il file lontano dal VPS. Un header danneggiato, altrimenti, fa perdere tutto. 5. **Apro il volume** — Esegua cryptsetup open con un nome di mapping. Compare un dispositivo sotto /dev/mapper/. 6. **Creo un filesystem e lo monto** — Esegua mkfs.ext4 sul dispositivo mappato, crei una cartella e la monti. 7. **Lo chiudo quando ho finito** — Smonti, poi esegua cryptsetup close, che rimuove il mapping e cancella la chiave dalla memoria del kernel. ## Quali sono i comandi LUKS esatti? I comandi qui sotto seguono il manuale di cryptsetup. `luksFormat` inizializza il volume e imposta la prima passphrase, `open` crea il mapping, `luksDump` stampa l'header, e `luksHeaderBackup` salva un backup binario dell'header e dell'area degli slot di chiave. Il manuale dice che se l'header di un volume LUKS è danneggiato, tutti i dati sono persi in modo permanente, a meno di avere un backup dell'header. *Creo e formatto il contenitore* ```bash apt install cryptsetup fallocate -l 10G /root/vault.img cryptsetup --type luks2 luksFormat /root/vault.img cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header ``` *Apro, formatto e monto* ```bash cryptsetup open /root/vault.img vault mkfs.ext4 /dev/mapper/vault mkdir -p /mnt/vault mount /dev/mapper/vault /mnt/vault ``` *Lo chiudo* ```bash umount /mnt/vault cryptsetup close vault ``` ## Posso sbloccare da remoto un disco root cifrato con dropbear-initramfs? Sì, se il sistema si avvia da una root cifrata, un piccolo server SSH nell'initramfs può ricevere la passphrase prima che il filesystem root venga montato. Questo richiede un'installazione predisposta con una root cifrata, un lavoro più grande del volume dati qui sopra; lo si tratti quindi come un passaggio avanzato e si verifichi che la propria immagine e il processo di avvio lo consentano. Il pacchetto Debian `dropbear-initramfs` fornisce l'accesso SSH all'interno del RAM filesystem iniziale, per esempio per sbloccare dischi cifrati. La sua documentazione inserisce le chiavi pubbliche in `/etc/dropbear/initramfs/authorized_keys` e le opzioni in `/etc/dropbear/initramfs/dropbear.conf`, e dice di eseguire `update-initramfs -u -k all` dopo averle modificate. Sconsiglia anche di riutilizzare le chiavi host SSH principali, perché `/boot` di solito non è cifrato. *Installo e applico il server SSH dell'initramfs* ```bash apt install dropbear-initramfs nano /etc/dropbear/initramfs/authorized_keys update-initramfs -u -k all ``` *Facoltativo: ascoltare su un'altra porta (dropbear.conf)* ```text DROPBEAR_OPTIONS="-p 2222" ``` > **Provo prima di farci affidamento** Si tenga una seconda via d'accesso e si provi lo sblocco prima su un VPS di riserva. Un initramfs sbagliato o una passphrase persa possono lasciare la macchina in attesa all'avvio. Si usi una porta SSH diversa o un file known-hosts separato per il passaggio di sblocco, perché le sue chiavi host sono diverse da quelle del server principale. ## Come mantengo un VPS cifrato utilizzabile nel tempo? Si faccia il backup dell'header, si scriva la passphrase offline e si conservi una copia propria dei dati, dato che il piano non ha backup. Il manuale di cryptsetup dice che il backup è obbligatorio anche per i dati cifrati, se i dati hanno un qualche valore. Si blinzi anche la porta d'ingresso: [Come proteggo SSH su un nuovo VPS?](https://gloamport.com/it/guides/how-to-harden-ssh-on-a-vps/ "Come rafforzo SSH su un nuovo VPS?") lo spiega, e [Come genero una chiave SSH per il mio VPS?](https://gloamport.com/it/guides/how-to-generate-an-ssh-key/ "Come genero una chiave SSH per il mio VPS?") tratta la chiave. Piani e periodi sono nella [pagina dei prezzi](https://gloamport.com/it/pricing/ "Quanto costa un VPS Gloamport?"). **In sintesi** - LUKS2 cifra i dati a riposo su un VPS con virtualizzazione KVM completa. - Non nasconde un VPS in esecuzione all'host, che può leggere la RAM. - `cryptsetup --type luks2 luksFormat` crea il volume; `open` e `close` lo gestiscono. - Si faccia il backup dell'header con `luksHeaderBackup`: un header danneggiato fa perdere tutti i dati. - `dropbear-initramfs` permette lo sblocco remoto di una root cifrata. - Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) costa $8.25 al mese con 12 mesi. ## LUKS su un VPS: domande frequenti ### L'host del VPS può leggere i miei dati cifrati con LUKS? Non dal disco, ma sì mentre il volume è aperto, perché la chiave e i dati si trovano in memoria che l'host può leggere. LUKS protegge i dati a riposo. ### Posso usare un file invece di una partizione? Sì. Il manuale di cryptsetup dice che se l'argomento device è un file, cryptsetup tenta di allocare un dispositivo loopback e di mapparlo su quel file. ### Cosa succede se dimentico la passphrase? I dati non possono essere letti. Si conservi la passphrase al sicuro e si faccia un backup dell'header, perché un header danneggiato fa perdere anche tutto. ### Cosa fa dropbear-initramfs? Avvia un piccolo server SSH all'interno del RAM filesystem iniziale, così si può sbloccare un disco root cifrato all'avvio da un'altra macchina. ### Gloamport include i backup? Nessun piano include backup, quindi si conservi una copia propria di tutto ciò che non può perdere. ## Fonti 1. [Pagina di manuale di cryptsetup(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10) 2. [Pagina di manuale di cryptsetup-luksFormat(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10) 3. [README di dropbear-initramfs](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10) 4. [Pacchetto dropbear-initramfs (trixie)](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10) --- Gloamport: Gloamport è un fornitore di VPS che vende server Linux KVM senza KYC, ordinati con un numero di account e pagati in crypto, con Monero per primo; è gestito da DomaineGoat LLC, una società registrata a Panama. Un ordine chiede un piano, una moneta e, solo se lo si vuole, un indirizzo email: nessun nome, nessun indirizzo postale, nessun telefono e nessun documento d'identità. Con il periodo di 12 mesi, ogni piano costa almeno il 25% in meno di un piano di confronto indicato, tratto da un'indagine su 38 host VPS crypto senza KYC, letta il 10 novembre 2026.