[Home](https://servhidden.com/it) / [Guide di Hosting Privato](https://servhidden.com/it/guides) / Crittografia full-disk su un VPS: setup LUKS e cosa protegge davvero Operaciones # Crittografia full-disk su un VPS La crittografia del disco risponde bene a una domanda e per niente a molte altre. Ecco come configurare LUKS su un server affittato — un volume dati cifrato, la cifratura full-root con sblocco remoto dropbear, oppure il bare metal cifrato all'installazione — e come capire quali delle tue minacce elimina davvero. [Leer la guida](#guide-body) [FAQ](#guide-faq) ## En questa pagina - [Guida](#guide-body) - [FAQ](#guide-faq) - [Guide relacionullas](#guide-related) - [Paginas consigliate](#guide-cta) Senza KYC Solo crypto Nessun log DMCA ignorato Root completo NVMe SSD 19 min di lettura Aggiornato Aug 2026 En questa pagina [01Cosa protegge davvero la crittografia a riposo](#cosa-protegge-davvero-la-crittografia-a-riposo) [02Perché un VPS non è un laptop](#perché-un-vps-non-è-un-laptop) [03I tre schemi che vale la pena distribuire](#i-tre-schemi-che-vale-la-pena-distribuire) [04Cifrare un volume dati su un VPS in esecuzione](#cifrare-un-volume-dati-su-un-vps-in-esecuzione) [05Cifratura full-root con sblocco remoto via SSH](#cifratura-full-root-con-sblocco-remoto-via-ssh) [06Le due impostazioni che contano, e la trappola dei VPS piccoli](#le-due-impostazioni-che-contano-e-la-trappola-dei-vps-piccol) [07Swap, log, snapshot — le parti che si dimenticano](#swap-log-snapshot-le-parti-che-si-dimenticano) [08Dove vive la chiave è tutto il progetto](#dove-vive-la-chiave-è-tutto-il-progetto) [09Cosa può vedere il tuo provider, e dove entra in gioco la giurisdizione](#cosa-può-vedere-il-tuo-provider-e-dove-entra-in-gioco-la-giu) [10Nove errori che trasformano la crittografia in decorazione](#nove-errori-che-trasformano-la-crittografia-in-decorazione) [11Quindi vale la pena farlo su un VPS?](#quindi-vale-la-pena-farlo-su-un-vps) [FAQDomande frequenti](#guide-faq) [→Paginas consigliate](#guide-cta) La crittografia full-disk risponde esattamente a una domanda: cosa ottiene un avversario quando ha in mano il tuo storage e la macchina è spenta? Ogni altra domanda che potresti avere — cosa può vedere il provider, cosa succede se un server in esecuzione viene sequestrato, se i tuoi backup sono al sicuro — ha una risposta diversa, e trattarle tutte come una sola è il modo in cui si finisce con una crittografia che non protegge nulla. Vale la pena essere netti su questa distinzione, perché «crittografato con LUKS» compare su ogni pagina di hosting per la privacy in questo settore, [la nostra inclusa](https://servhidden.com/it/anonymous-hosting). È un controllo reale, costa quasi nulla da mantenere, ed è anche il controllo più sopravvalutato nell'hosting. Questa guida copre cosa impedisce davvero la crittografia a riposo su un server affittato, i tre schemi che vale la pena distribuire e i comandi per ciascuno, le due impostazioni che contano davvero su un piccolo VPS, e la manciata di errori che trasformano l'intero esercizio in pura decorazione. ## Cosa protegge davvero la crittografia a riposo Crittografia a riposo significa che i byte sul supporto di storage sono testo cifrato ogni volta che il volume è chiuso. È un'affermazione circoscritta, e il suo valore dipende da una sola variabile: dove si trova la chiave nel momento in cui arriva l'avversario. | Situazione | LUKS aiuta? | | --- | --- | | Un disco viene dismesso, restituito in garanzia o rivenduto a fine vita | **Sì** — il caso da manuale, e molto più comune di qualsiasi scenario drammatico | | La macchina viene sequestrata spenta, oppure lo storage viene rimosso dal rack | **Sì**, a condizione che la chiave non si trovi sulla macchina | | Il provider copia il tuo disco virtuale mentre il server è in esecuzione | La copia è testo cifrato — ma la chiave è in RAM sullo stesso host fisico | | Un avversario a livello di hypervisor esegue un dump della memoria del guest | **No.** La chiave di un volume sbloccato risiede nella memoria del kernel | | Qualcuno ottiene i privilegi di root sul tuo server in esecuzione | **No.** Il filesystem è montato; lo legge esattamente come lo leggi tu | | I tuoi backup lasciano la macchina in chiaro | **No.** Si risolve alla fonte, non a destinazione | | Ti viene ordinato di produrre la passphrase | Non è una questione tecnica — trattata più avanti | Leggila come una definizione, non come una delusione. Eliminare la classe di esposizione legata al disco sottratto vale un'ora di lavoro proprio perché è la classe contro cui non hai altra difesa, e quella che si verifica senza che nessuno ti prenda di mira: l'hardware si guasta e viene restituito, gli array vengono dismessi, i volumi vengono riassegnati al prossimo inquilino. La crittografia trasforma tutto questo in un non-evento. La crittografia a riposo risponde bene a una domanda: quanto vale un volume chiuso per chi lo detiene. Dove vive la chiave decide tutto il resto. ## Perché un VPS non è un laptop Su un laptop il disegno è evidente di per sé. Digiti una passphrase all'avvio, la chiave esiste solo in RAM finché la macchina è accesa, e spegnerla chiude la questione. Un server non ha nessuno alla console. Qualcosa deve fornire la chiave a ogni avvio, e ogni candidato per «qualcosa» scambia disponibilità con protezione: - **Un essere umano la digita.** Lo schema più solido, perché la chiave non risiede mai sulla macchina — ma il server non può tornare operativo dopo un riavvio senza di te, e ti serve un modo per entrare prima che il sistema operativo esista. - **La macchina la conserva.** Comodo, e nella maggior parte delle configurazioni fai-da-te controproducente: un file chiave sullo stesso disco virtuale significa che chiunque abbia il disco ha anche la chiave. - **Un'altra macchina la consegna.** Sblocco vincolato alla rete, di solito Clevis con un server Tang. Il server si sblocca da sé soltanto finché riesce a raggiungere un host che controlli tu, una proprietà genuinamente utile — e uno spostamento della fiducia, non una sua eliminazione. C'è una seconda differenza che la maggior parte delle guide tralascia. Su un VPS, /boot e l'initramfs sono in chiaro, risiedono su uno storage che in ultima analisi il provider controlla, e non esiste una catena di avvio che tu possa verificare — nessun TPM che ti appartenga, nessun measured boot, nulla da attestare. Un host che volesse la tua passphrase potrebbe alterare l'initramfs e raccoglierla al prossimo sblocco. Questa non è una descrizione di ciò che facciamo; è una descrizione di ciò che l'architettura permette, l'unico modo onesto di ragionare su un computer che affitti. Il nostro [confronto tra VPS e dedicato](https://servhidden.com/it/guides/vps-vs-dedicated-for-privacy) percorre lo stesso confine di fiducia dal lato hardware, e [la nostra risposta onesta sull'anonimato offshore](https://servhidden.com/it/guides/is-offshore-hosting-truly-anonymous) applica la stessa disciplina al marketing che lo circonda. ## I tre schemi che vale la pena distribuire Non esiste un'unica configurazione corretta — esiste quella la cui modalità di guasto puoi accettare. Questi tre coprono sostanzialmente ogni caso reale. | Schema | Cosa copre | Costo di un riavvio | Rischio di blocco | | --- | --- | --- | --- | | **1.** Volume dati cifrato, aperto a mano dopo l'avvio | I dati che contano — database, archivio di posta, documenti, chiavi | Il server torna operativo da solo; il vault ti aspetta | Molto basso | | **2.** LUKS full-root con sblocco remoto via dropbear | Tutto: log di sistema, configurazione, swap, l'intero sistema | Ogni riavvio richiede il tuo intervento, via SSH, prima che l'avvio si completi | Reale — una configurazione di rete dell'initramfs difettosa blocca la macchina | | **3.** Bare metal cifrato all'installazione, passphrase digitata via IPMI | Tutto, senza alcun hypervisor sotto la chiave | Ogni riavvio richiede il tuo intervento, alla console out-of-band | Basso — IPMI è un accesso indipendente | Inizia dal primo, a meno che tu non abbia una ragione specifica per non farlo. Offre la maggior parte della protezione per una frazione del rischio operativo, e ha l'unica proprietà che agli altri due manca: nulla in esso può impedire al server di tornare online. Lo schema tre è l'unico in cui la passphrase è un fatto che il provider non può raggiungere, invece di una promessa che il provider fa, motivo per cui i nostri [server dedicati](https://servhidden.com/it/dedicated) applicano LUKS all'installazione con una passphrase che non vediamo mai. ## Cifrare un volume dati su un VPS in esecuzione Questo è lo schema da usare per primo. Non si reinstalla nulla, il processo di avvio non cambia in alcun modo, e se commetti un errore il risultato peggiore è un file container che butti via. Quindici minuti su un server Debian o Ubuntu attivo. - **Installa gli strumenti.** apt install cryptsetup. Se il tuo piano ti ha assegnato un secondo block device, usalo direttamente e salta il passaggio successivo. - **Crea un container.** Su un VPS a disco singolo la via pratica è un file: fallocate -l 40G /var/lib/vault.img. Si comporta come un disco e può essere ampliato in seguito. - **Formattalo come LUKS2.** cryptsetup luksFormat --type luks2 /var/lib/vault.img. Mantieni i valori predefiniti per il cifrario; la sezione seguente tratta l'unico parametro che vale la pena modificare su un server piccolo. - **Aprilo e crea un filesystem.** cryptsetup open /var/lib/vault.img vault ti dà /dev/mapper/vault; poi mkfs.ext4 /dev/mapper/vault e mount /dev/mapper/vault /srv/vault. - **Sposta i dati che contano, poi punta i servizi verso di essi.** Un bind mount, oppure un rsync con il servizio fermato, è di solito più pulito dei symlink — i database in particolare non gradiscono essere spostati da un posto all'altro. - **Esegui il backup dell'header LUKS.** cryptsetup luksHeaderBackup /var/lib/vault.img --header-backup-file vault-header.bin, poi sposta quel file fuori dal server. Pochi kilobyte corrotti all'inizio del container distruggono ogni byte che li segue, in modo permanente, ed è l'unica assicurazione che esiste. - **Chiudilo e verifica di poter rientrare.** umount /srv/vault && cryptsetup close vault, poi riaprilo seguendo i tuoi appunti invece che la memoria. Fallo prima che ci sia dentro qualcosa di prezioso. Dopo un riavvio il vault resta chiuso finché non accedi e lo apri. Non è un limite da aggirare con qualche accorgimento — è esattamente il punto. Un volume che si apre da solo è un volume la cui chiave si trova sulla macchina. **La trappola della migrazione.** Copiare testo in chiaro in un vault cifrato non lo cancella da dove si trovava prima. Su storage virtualizzato shred non è affidabile per progettazione — il livello che stai sovrascrivendo non è il livello che memorizza effettivamente i dati. Se il materiale è davvero sensibile, parti cifrato su un server nuovo invece di migrare verso la cifratura su quello vecchio. ## Cifratura full-root con sblocco remoto via SSH Quando il requisito è che *nulla* di leggibile sopravviva a un sequestro a macchina spenta — log, cronologia della shell, elenchi dei pacchetti, la forma di ciò che esegui — anche il filesystem di root deve stare dentro il container. Il problema diventa allora far arrivare una passphrase a una macchina che non si è ancora avviata, e la risposta è un piccolo server SSH che vive nell'initramfs. - **Installa cifrato fin dall'inizio.** Avvia il programma di installazione della distribuzione tramite il [caricamento di un'ISO personalizzata](https://servhidden.com/it/vps) e scegli il partizionamento guidato con LVM cifrato. Convertire in loco un filesystem di root già in esecuzione è possibile ma non vale il rischio. - **Aggiungi il server SSH pre-avvio.** apt install dropbear-initramfs, poi inserisci la tua chiave pubblica in /etc/dropbear/initramfs/authorized_keys. È un set di chiavi separato dal tuo SSH normale — usa una chiave dedicata. - **Blindalo.** In /etc/dropbear/initramfs/dropbear.conf, imposta DROPBEAR_OPTIONS="-I 180 -j -k -p 2222 -s": nessun login con password, nessun port forwarding, una porta propria, e un timeout di inattività così che una sessione bloccata non tenga l'avvio in sospeso. - **Dai una rete all'initramfs.** Aggiungi un parametro statico ip= a GRUB_CMDLINE_LINUX in /etc/default/grub — la forma è ip=address::gateway:netmask::interface:off. Affidarsi al DHCP in questa fase è il modo in cui ci si ritrova bloccati fuori. - **Ricostruisci e riavvia.** update-initramfs -u && update-grub, poi riavvia e connettiti con ssh -p 2222 root@your-server ed esegui cryptroot-unlock. Il tuo client avviserà di una host key sconosciuta: l'initramfs ha la propria, il che è previsto e vale la pena fissare in una voce known_hosts separata. - **Testa il percorso di fallimento prima di farci affidamento.** Installa un aggiornamento del kernel, riavvia, sblocca di nuovo. Gli aggiornamenti del kernel rigenerano l'initramfs, ed è esattamente in quel momento che emerge una configurazione errata. **Non distribuire questo schema senza una console out-of-band.** Se dropbear non riesce ad avviarsi, SSH non può aiutarti — l'unica via di ritorno è una console che funziona prima del sistema operativo. Ogni VPS ServHidden include l'accesso alla console VNC e ogni server dedicato dispone di IPMI/KVM completo, quindi il percorso di recupero esiste. Su un provider che non lo offre, lo schema uno è l'unica scelta responsabile. ## Le due impostazioni che contano, e la trappola dei VPS piccoli LUKS2 usa per default AES-XTS con chiave a 512 bit e derivazione della chiave Argon2id. Entrambi sono corretti. Regolare manualmente il cifrario è un modo per essere più lenti e più deboli allo stesso tempo, e internet è pieno di righe di comando copiate che fanno esattamente questo. Due cose, tuttavia, meritano attenzione. ### Le prestazioni non sono un problema, finché non lo diventano Verifica l'accelerazione hardware con grep -m1 -o aes /proc/cpuinfo e misurala con cryptsetup benchmark. Su qualsiasi CPU con AES-NI — cioè ogni nodo che gestiamo — AES-XTS sposta diversi gigabyte al secondo per core, ben al di sopra di quanto un singolo disco virtuale possa erogare, quindi il costo visibile è una manciata di punti percentuali di CPU sotto I/O intenso e un piccolo aumento di latenza. Senza AES-NI il quadro si ribalta e la crittografia diventa il collo di bottiglia; è l'unico caso in cui un cifrario alternativo è una decisione reale e non un rito copiato senza pensarci. ### La memoria di Argon2id è ciò che morde Argon2id è deliberatamente affamato di memoria, e cryptsetup lo calibra al momento della formattazione in base alla RAM della macchina su cui stai formattando. Formatta un volume su una workstation da 32 GB, spostalo su un VPS da 1 GB, e lo sblocco può fallire del tutto perché la memoria richiesta dalla derivazione della chiave non c'è — peggio ancora dentro un initramfs, dove è disponibile molta meno memoria che in un sistema in esecuzione. Su istanze piccole, fissalo: cryptsetup luksFormat --type luks2 --pbkdf argon2id --pbkdf-memory 262144 /dev/vdb lo limita a 256 MB. Un valore più basso è una riduzione reale della resistenza al brute force offline, quindi compensa con una passphrase più lunga. Un flag opzionale merita una decisione consapevole invece di un copia-incolla: --allow-discards lascia passare il TRIM verso il dispositivo sottostante, il che fa bene all'usura degli SSD e alle prestazioni a regime, e che rivela anche quanto del volume è in uso e più o meno dove. È disattivato per default. Attivalo sapendo cosa rivela. ## Swap, log, snapshot — le parti che si dimenticano Un vault cifrato con testo in chiaro che trapela intorno è il guasto più comune di tutti, e resta invisibile finché qualcuno non controlla. - **Swap.** Qualsiasi cosa in memoria può finire su disco per paging, incluso il materiale che hai messo con cura nel vault. Disattiva lo swap, oppure assegnagli una chiave casuale a ogni avvio con una riga /etc/crypttab come swap /dev/vdb1 /dev/urandom swap,cipher=aes-xts-plain64,size=256. - **Tutto ciò che scrive dove non hai guardato.** /var/log, /tmp, la directory dati del database, /var/lib/docker, la cronologia della shell, i journal di systemd. Cifrare /srv/vault mentre PostgreSQL scrive su /var/lib/postgresql non ottiene assolutamente nulla. Fai un elenco prima di cifrare. - **Snapshot.** Uno snapshot a livello di blocco di un volume cifrato è testo cifrato e quindi va bene. Uno snapshot che cattura lo stato della memoria è un oggetto completamente diverso e può contenere la chiave. Sappi quale tipo effettua il pannello del tuo provider prima di usarlo. - **Backup.** La destinazione è il posto sbagliato per risolvere questo problema. Strumenti come restic e BorgBackup cifrano alla fonte con una chiave che la destinazione non vede mai, motivo per cui un [server di backup](https://servhidden.com/it/use-cases/backup-server-hosting) può essere una macchina ordinaria in un'altra giurisdizione invece che una macchina fidata. - **Il testo in chiaro che hai già inviato altrove.** La crittografia a riposo non è retroattiva. Qualsiasi cosa già copiata, spedita via e-mail o sincronizzata altrove resta fuori dal confine che stai tracciando ora. ## Dove vive la chiave è tutto il progetto Ogni schema descritto sopra è in realtà un'affermazione sulla custodia della chiave. Esistono quattro opzioni e non sono equivalenti: - **Nella tua testa, digitata a ogni avvio.** Massima protezione, massimo attrito operativo. La macchina non può davvero essere letta senza di te. - **In un file sulla macchina cifrata.** Protegge contro una rivendita ingenua del disco e nient'altro. Se quel file si trova su un /boot in chiaro, non protegge assolutamente nulla — l'errore più comune in assoluto nella crittografia self-hosted. - **Su una macchina che controlli, recuperata via rete.** Clevis vincolato a un server Tang: clevis luks bind -d /dev/vdb tang '{"url":"https://tang.example.net"}'. Il server si avvia senza supervisione finché riesce a raggiungere casa, e rifiuta di sbloccarsi altrove. Eccellente per flotte headless, e rende l'host Tang la cosa che va difesa. - **In un TPM.** Ha senso su hardware che possiedi. Su un VPS il TPM virtuale è fornito dallo stesso hypervisor che stai cercando di escludere, quindi risolve la comodità, non la fiducia. Un unico test chiarisce la maggior parte dei progetti: **se la macchina può arrivare a un prompt di login senza di te, la chiave è sulla macchina.** Può essere un compromesso del tutto ragionevole — molti carichi di lavoro vogliono riavvii senza supervisione più di quanto vogliano resistenza a un avversario determinato. Fai la scelta consapevolmente, e non descrivere il risultato come qualcosa che non è. ## Cosa può vedere il tuo provider, e dove entra in gioco la giurisdizione Su un VPS c'è un hypervisor sotto di te. Non leggiamo la memoria del guest, e non conserviamo log di traffico, connessione o DNS, né una traccia della console — ma queste sono politiche, e la cornice onesta è che un VPS ti chiede di fidarti di esse. Su bare metal non c'è alcun hypervisor tra te e il silicio: la crittografia full-disk configurata all'installazione con una passphrase che non riceviamo mai è una proprietà fisica della macchina, non una garanzia data da noi. È questa differenza, non la scelta del cifrario, ciò tra cui stai davvero scegliendo. Ecco perché crittografia e giurisdizione sono due metà di un'unica risposta. La crittografia decide quanto vale una copia del tuo disco; la giurisdizione decide chi può obbligare a produrre la macchina, attraverso quale procedura e con quale rapidità. Operiamo in sette giurisdizioni — Islanda, Svizzera, Panama, Romania, Moldova, Paesi Bassi e Russia — e il ragionamento per scegliere tra loro si trova nella nostra [guida alla giurisdizione](https://servhidden.com/it/guides/choosing-an-offshore-jurisdiction), o in forma più breve tramite il [selettore di giurisdizione](https://servhidden.com/it/jurisdiction-selector) e la [pagina delle location](https://servhidden.com/it/locations). La parte che la crittografia non può toccare è la divulgazione forzata, perché è rivolta a te, non all'hardware. Il Regno Unito, la Francia e l'Australia sono tra i paesi la cui legge può obbligare una persona a produrre una chiave di decrittazione o affrontare una sanzione per il rifiuto. Questa esposizione segue dove *ti trovi tu*, non dove si trova il server, e nessuna configurazione sulla macchina la cambia. Registrarsi senza documenti d'identità limita quanta traccia cartacea esiste fin dall'inizio — la ragione pratica, per nulla affascinante, per cui [l'hosting no-KYC](https://servhidden.com/it/no-kyc-hosting) e la crittografia finiscono nella stessa conversazione — ma non è una difesa contro un tribunale che ha già il tuo nome. ## Nove errori che trasformano la crittografia in decorazione - **Sblocco automatico da un file chiave sullo stesso disco.** La maggioranza dei server «cifrati», l'equivalente di lasciare la chiave nella toppa. - **Cifrare un volume che i dati sensibili non raggiungono mai.** Il vault è vuoto e il database non ci sta dentro. - **Non fare mai il backup dell'header LUKS.** Un settore danneggiato all'inizio del container e ogni byte che lo segue è perso per sempre. - **Non testare mai il percorso di sblocco.** Poi un aggiornamento del kernel rigenera l'initramfs e il riavvio successivo diventa un'operazione di soccorso. - **Formattare su una macchina grande e sbloccare su una piccola.** Argon2id richiede memoria che il VPS non può fornire, e il volume non si aprirà. - **Scegliere una passphrase come una password di login.** Nulla limita la velocità di un attacco offline tranne la funzione di derivazione della chiave. La lunghezza è ciò che compra tempo. - **Migrare testo in chiaro verso la crittografia presumendo che l'originale sia sparito.** Su storage virtualizzato, la sovrascrittura non cancella in modo affidabile. - **Inviare la passphrase sullo stesso canale usato per amministrare la macchina.** [Server OpSec](https://servhidden.com/it/guides/server-opsec-staying-anonymous) tratta il problema di correlazione che questo crea. - **Confondere la crittografia del tuo provider con la tua.** «Tutta l'infrastruttura è cifrata a riposo» — la nostra inclusa — protegge l'infrastruttura. Solo una chiave che tieni tu ti protegge dall'infrastruttura. ## Quindi vale la pena farlo su un VPS? Sì, con aspettative calibrate. Per un'ora di lavoro e nessun costo di gestione misurabile, un volume dati cifrato elimina un'intera classe di esposizione a cui non puoi altrimenti porre rimedio, e la elimina in modo permanente: hardware dismesso, storage riassegnato, una macchina spenta in custodia altrui. Fai almeno questo su ogni server che contiene qualcosa di importante, subito dopo la [checklist di hardening della prima ora](https://servhidden.com/it/guides/first-hour-vps-hardening-checklist). Quello che non fa è trasformare un computer affittato nel tuo computer. Se il tuo modello di minaccia include il provider stesso come avversario, nessun cifrario risolve il problema — la risposta è l'[hardware dedicato](https://servhidden.com/it/dedicated), dove la chiave viene digitata via IPMI e non passa mai attraverso un hypervisor, una giurisdizione scelta di proposito, e la disciplina di non mettere su nessun server ciò che non ha bisogno di starci. Far corrispondere il controllo alla minaccia reale è la differenza tra la privacy e la sua parvenza. FAQ ## Cifrare un server — domande frequenti ### 01 La crittografia full-disk protegge il mio VPS dal provider di hosting? Non mentre il server è in esecuzione. Una volta sbloccato il volume, la chiave si trova nella memoria del kernel sull'host fisico, e un avversario a livello di hypervisor può raggiungere quella memoria. Ciò da cui la crittografia protegge davvero è chiunque detenga il tuo storage mentre è chiuso: dischi dismessi o rivenduti, un volume riassegnato, una macchina sequestrata da spenta. Se il tuo modello di minaccia include davvero il provider, la risposta è un bare metal dedicato cifrato all'installazione con una passphrase che il provider non riceve mai, non un cifrario diverso su un VPS. ### 02 Posso cifrare un VPS esistente senza reinstallarlo? Puoi cifrare i tuoi dati senza reinstallare: crea un file container LUKS con fallocate, formattalo con cryptsetup luksFormat, aprilo, crea un filesystem al suo interno e sposta dentro il tuo database, l'archivio di posta e le chiavi. Ci vogliono circa quindici minuti e nessun downtime oltre al riavvio dei servizi interessati. Cifrare il filesystem di root in loco è una questione diversa — è possibile, è fragile, e reinstallare da un'ISO personalizzata con LVM cifrato è sia più veloce sia più sicuro. ### 03 Come funziona lo sblocco remoto se non c'è nessuno alla console? Un piccolo server SSH, dropbear, è incorporato nell'initramfs e parte prima che la root cifrata venga aperta. Installi dropbear-initramfs, aggiungi una chiave pubblica, dai un IP statico all'initramfs, lo ricostruisci, e a ogni avvio ti connetti sulla porta di dropbear ed esegui cryptroot-unlock. La passphrase la digiti tu e non viene mai memorizzata sul server. Non distribuirlo senza una console out-of-band — VNC su un VPS, IPMI su un server dedicato — perché se dropbear non riesce ad avviarsi, SSH non può soccorrerti. ### 04 LUKS rallenta un server? Su qualsiasi CPU con accelerazione hardware AES-NI, praticamente no. AES-XTS gira a diversi gigabyte al secondo per core, un valore superiore a quanto un singolo disco virtuale possa erogare, quindi il costo pratico è una manciata di punti percentuali di CPU sotto I/O intenso e un piccolo aumento di latenza. Esegui cryptsetup benchmark sulla tua macchina per vedere i numeri reali. Senza AES-NI il sovraccarico diventa significativo, ed è l'unica situazione in cui vale la pena considerare un cifrario alternativo. ### 05 Cosa succede se perdo la passphrase? I dati sono persi. Non esiste alcun meccanismo di recupero, nessun reset lato provider e nessuna backdoor — è esattamente la proprietà che stavi acquistando. Due cose riducono il rischio: LUKS2 supporta più slot per le chiavi, quindi aggiungi una seconda passphrase lunga o un file chiave conservato altrove, e fai il backup dell'header LUKS con cryptsetup luksHeaderBackup conservandolo fuori dal server. Un header danneggiato distrugge il volume esattamente come una passphrase dimenticata. ### 06 La crittografia del disco è legale, e posso essere costretto a consegnare la chiave? Usare la crittografia del disco è legale in tutte e sette le giurisdizioni in cui operiamo, ed è una pratica ordinaria, non un atto sospetto. La divulgazione forzata è una questione separata e segue la persona, non l'hardware: il Regno Unito, la Francia e l'Australia sono tra i paesi la cui legge può obbligare qualcuno a produrre una chiave di decrittazione o affrontare una sanzione per il rifiuto. Questo è determinato da dove ti trovi e quale tribunale ha giurisdizione su di te, e nessuna configurazione del server lo cambia. ### 07 La crittografia aiuta se il server viene sequestrato mentre è in esecuzione? No. Un server in esecuzione ha il volume montato e la chiave in memoria, quindi chiunque abbia accesso legge il filesystem esattamente come lo leggi tu — ed è proprio per questo che le apparecchiature vengono di norma sequestrate ancora accese. La crittografia a riposo è una protezione per un volume chiuso. Se la perdita improvvisa di custodia fa parte del tuo modello di minaccia, ciò che aiuta è tenere meno cose sulla macchina, conservare i backup altrove cifrati alla fonte, e scegliere una giurisdizione dove il processo legale per raggiungere la macchina è lento e limitato. ### 08 Un file container LUKS è sicuro quanto cifrare un intero block device? Dal punto di vista crittografico, sì — si applicano lo stesso header LUKS2, lo stesso cifrario e la stessa derivazione della chiave in entrambi i casi, e il container si comporta come un block device una volta aperto. Un disco separato è marginalmente più ordinato ed evita la frammentazione sul filesystem host, ma su un VPS a disco singolo il file container è l'approccio standard e non rinuncia a nulla che conti davvero. Ciò che cambia la sicurezza non è il formato del container, ma dove vive la chiave e quali dati ci metti effettivamente dentro. Guide relacionullas ## Seguir leyendo [### Come Scegliere una Giurisdizione di Hosting Offshore in 2026 Compra Un quadro decisionale pratico per scegliere una giurisdizione offshore: leggi sulla conservazione dei dati, esposizione ai trattati MLAT, posizione sul DMCA, velocità dei tribunali e applicazione reale della legge — paese per paese. FAQ di 6 domande](https://servhidden.com/it/guides/choosing-an-offshore-jurisdiction) [### VPS vs Server Dedicato per Workload Critici per la Privacy Compra Quando un VPS va bene, quando la tenancy condivisa è un rischio e quando il bare metal è l'unica risposta onesta. Isolamento hardware, rischio hypervisor e costo rispetto al modello di minaccia. FAQ di 6 domande](https://servhidden.com/it/guides/vps-vs-dedicated-for-privacy) [### VPN Autogestionulla in un VPS Senza KYC: WireGuard vs OpenVPN Operaciones Perché una VPN self-hosted batte i provider commerciali, e come si confrontano davvero WireGuard e OpenVPN su privacy, prestazioni e rischio operativo nel 2026. FAQ di 6 domande](https://servhidden.com/it/guides/self-hosted-vpn-wireguard-vs-openvpn) [### RTX 4090 vs H100 SXM5 per inferenza IA (e dove rientra la RTX 5090) Compra Guida all'acquisto: quale GPU NVIDIA scegliere per carichi di lavoro LLM, immagine, video, voce e fine-tuning self-hosted nel 2026. RTX 4090 vs RTX 5090 vs H100 SXM5 vs doppio H100 — VRAM, throughput, $/token, quando vince ciascuna. FAQ di 6 domande](https://servhidden.com/it/guides/rtx-4090-vs-h100-for-ai-inference) [### RDP Windows Offshore per Trading Forex con MT4 / MT5 / cTrader Operaciones Guida completa: perché scegliere un RDP Windows per il trading forex, come scegliere una giurisdizione offshore a bassa latenza, la configurazione di MT4 / MT5 / cTrader / Expert Advisor, la latenza verso i server dei broker e il percorso di checkout senza KYC. FAQ di 6 domande](https://servhidden.com/it/guides/offshore-windows-rdp-for-forex-trading) [### Hosting con DMCA Ignorato: Cosa Significa Davvero nel 2026 Compra Cosa acquista davvero un hosting "DMCA ignored", quali giurisdizioni lo supportano concretamente, i carichi di lavoro che ne hanno bisogno e le insidie sul copyright che il termine non copre. FAQ di 6 domande](https://servhidden.com/it/guides/dmca-ignored-hosting-explained) [### Registrazione Anonima di Domini con Crypto: Privacy WHOIS nel 2026 Privacy Una guida pratica 2026 per registrare domini senza rivelare la propria identità: regimi WHOIS per TLD, scelta del registrar, opzioni di pagamento crypto e gli errori operativi che vi espongono comunque. FAQ di 6 domande](https://servhidden.com/it/guides/anonymous-domain-registration-with-crypto) [### Pagamenti Crypto per Hosting: Monero vs Bitcoin vs USDT Privacy Come la scelta della moneta di pagamento influisce su ciò che il tuo host scopre di te. Privacy, commissioni, finalità ed esposizione all'analisi della catena per XMR, BTC e USDT — con una raccomandazione chiara. FAQ di 6 domande](https://servhidden.com/it/guides/crypto-payments-monero-vs-bitcoin-vs-usdt) [### L'hosting offshore è davvero anonimo? Una risposta onesta Privacy L'hosting offshore no-KYC elimina l'identità che un host normale raccoglie — ma "anonimo" dipende dal pagamento, dai log del provider e dalla tua opsec. Ecco cosa è davvero tracciabile. FAQ di 6 domande](https://servhidden.com/it/guides/is-offshore-hosting-truly-anonymous) [### La prima ora di hardening di un VPS: una checklist Operaciones Una checklist concreta e ordinata per mettere in sicurezza un nuovo VPS in meno di un'ora: chiavi SSH, un firewall, fail2ban, aggiornamenti automatici e la riduzione della superficie d'attacco che blocca la maggior parte degli attacchi opportunistici. FAQ di 6 domande](https://servhidden.com/it/guides/first-hour-vps-hardening-checklist) [### Cos'è l'Hosting No-KYC? Definizione, Legalità e Come Funziona Privacy L'hosting No-KYC ti permette di noleggiare un server senza alcuna verifica d'identità — nessun nome, nessuna email, nessun documento. Ecco cosa significa esattamente, come funziona tecnicamente, se è legale e come scegliere un provider affidabile. FAQ di 6 domande](https://servhidden.com/it/guides/what-is-no-kyc-hosting) [### L'Hosting Offshore è Legale? La Risposta Onesta per il 2026 Compra L'hosting offshore è legale — per te e per il provider. Ecco cosa significa davvero il termine, dove si trova il confine giuridico, i miti da sfatare e come usarlo in modo responsabile. FAQ di 6 domande](https://servhidden.com/it/guides/is-offshore-hosting-legal) [### Come pagare l'hosting con Monero (XMR) — Guida passo dopo passo Privacy Una guida passo dopo passo per pagare un VPS o un server dedicato con Monero (XMR): perché XMR è l'opzione più privata, come ottenerlo e come funziona il checkout — dalla fattura al server operativo in pochi minuti. FAQ di 6 domande](https://servhidden.com/it/guides/how-to-pay-for-hosting-with-monero) [### Come ospitare un sito web in modo anonimo — Guida pratica 2026 Privacy Una guida pratica e stratificata per ospitare un sito web senza alcuna identità associata: l'account, il pagamento, il dominio, la giurisdizione, la connessione e il contenuto — ogni livello spiegato nel dettaglio. FAQ di 6 domande](https://servhidden.com/it/guides/how-to-host-a-website-anonymously) [### Come Configurare una VPN WireGuard su un VPS — Guida Passo dopo Passo Operaciones Costruisci la tua VPN privata su un VPS con WireGuard: perché una VPN self-hosted supera quella commerciale, la configurazione completa dall'installazione a un client connesso, e come rafforzarne la sicurezza. FAQ di 6 domande](https://servhidden.com/it/guides/how-to-set-up-wireguard-vpn-on-a-vps) [### Come fare self-hosting di un LLM su un server GPU — Guida 2026 Operaciones Esegui il tuo modello linguistico su un server GPU in affitto: perché il self-hosting supera un'API, quale GPU e modello scegliere, la configurazione con Ollama o vLLM, e i costi reali. FAQ di 6 domande](https://servhidden.com/it/guides/self-host-an-llm-on-a-gpu-server) [### Hosting Bulletproof vs Hosting Offshore — Qual è la Differenza? Compra Hosting bulletproof e hosting offshore vengono continuamente confusi — ma non sono la stessa cosa. Ecco la vera differenza, perché conta e quale dei due fa davvero al caso tuo. FAQ di 6 domande](https://servhidden.com/it/guides/bulletproof-vs-offshore-hosting) [### Come acquistare un VPS con Bitcoin — Guida passo dopo passo (2026) Compra Una guida accessibile anche ai principianti per acquistare un VPS con Bitcoin: come ottenere BTC, scegliere un piano, pagare la fattura e cosa si ottiene — un server attivo senza carta e senza nome associato. FAQ di 6 domande](https://servhidden.com/it/guides/how-to-buy-a-vps-with-bitcoin) [### I migliori paesi per l'hosting ignorato dal DMCA nel 2026 Compra Dove ospitare i tuoi server quando vuoi essere al riparo dai takedown in stile statunitense: le giurisdizioni che funzionano davvero, cosa significa concretamente "ignorato dal DMCA" e come scegliere. FAQ di 6 domande](https://servhidden.com/it/guides/best-countries-for-dmca-ignored-hosting) [### Come ospitare un servizio nascosto Tor (sito .onion) — Guida 2026 Operaciones Configura un servizio onion Tor su un VPS: cos'è un servizio nascosto, perché rappresenta la forma più solida di hosting anonimo, la procedura completa e come mantenerlo davvero anonimo. FAQ di 6 domande](https://servhidden.com/it/guides/how-to-host-a-tor-hidden-service) [### Configurazione di un Server Mail Offshore — Self-Hosting di Email Private nel 2026 Operaciones Gestisci il tuo server email privato su un VPS offshore: perché ospitare la posta in autonomia, cosa ti serve, come configurare uno stack mail all-in-one e come garantire la consegna dei messaggi. FAQ di 6 domande](https://servhidden.com/it/guides/offshore-mail-server-setup) [### Guida all'Hosting di Nodi Crypto — Esegui un Nodo Blockchain su un VPS Operaciones Come ospitare un nodo blockchain su un server: perché gestire il proprio nodo, come dimensionare il server per Bitcoin, Ethereum, Monero e non solo, la configurazione e come mantenerlo privato. FAQ di 6 domande](https://servhidden.com/it/guides/crypto-node-hosting-guide) [### GPU Hosting per Stable Diffusion — Esegui il Tuo Server di Immagini Operaciones Esegui Stable Diffusion sul tuo server GPU dedicato: perché fare self-hosting della generazione di immagini, quale GPU scegliere, la configurazione con una web UI e il confronto dei costi rispetto a un servizio in hosting. FAQ di 6 domande](https://servhidden.com/it/guides/gpu-hosting-for-stable-diffusion) [### Server OpSec — Restare Anonimi Quando Gestisci un Server Privacy Sicurezza operativa per chi gestisce un server anonimo: gli errori che espongono l'identità, le abitudini che li prevengono e come tenere davvero separate le identità. FAQ di 6 domande](https://servhidden.com/it/guides/server-opsec-staying-anonymous) [### Guida alla configurazione di una seedbox — Costruisci la tua seedbox privata nel 2026 Operaciones Come costruire la propria seedbox su un server: cos'è una seedbox, come dimensionarla, come installare un client torrent con interfaccia web e come mantenerla privata e sicura. FAQ di 6 domande](https://servhidden.com/it/guides/seedbox-setup-guide) [### Come aggirare la censura DPI con il tuo VPS (guida 2026) Privacy La tua VPN ha smesso di funzionare? Come aggirare la censura DPI con il tuo VPS: cosa rileva davvero la deep packet inspection, quale dei cinque protocolli del 2026 batte quale tipo di blocco, e una guida completa a VLESS+REALITY. FAQ di 6 domande](https://servhidden.com/it/guides/bypass-dpi-censorship-with-your-own-vps) [### Nascondere l'IP del server di origine: CDN, reverse proxy e cosa trapela Privacy Se mettere una CDN davanti a un server offshore: cosa nasconde, lo sportello reclami che erediti, i sei modi in cui un IP di origine trapela comunque, e come verificare il tuo. FAQ di 8 domande](https://servhidden.com/it/guides/hiding-your-origin-server-ip) [### Backup VPS: Strategia Cifrata, Offsite e Che Funziona Davvero Operaciones Il tuo host non conserva backup. Cosa distrugge davvero i server, perché il backup push muore con loro, restic contro BorgBackup, e come testare un vero ripristino. FAQ di 8 domande](https://servhidden.com/it/guides/vps-backup-strategy) [### Self-Hosting Matrix: federazione, metadati e cosa non copre la E2EE Operaciones Cosa ti dà davvero un homeserver Matrix: Synapse contro Conduit, il server_name che non puoi mai cambiare, i media che riempiono il disco e cosa rivela la federazione. FAQ di 8 domande](https://servhidden.com/it/guides/self-host-a-matrix-server) [### Migrare un Sito su Hosting Offshore Senza Downtime Operaciones L'ordine che rende noiosa una migrazione di host: abbassa il TTL del DNS con giorni di anticipo, fai girare entrambi i server in parallelo, blocca le scritture per minuti anziché ore — e ripulisci la traccia di DNS passivo, Certificate Transparency e WHOIS che il trasloco lascia dietro di sé. FAQ di 8 domande](https://servhidden.com/it/guides/migrate-website-to-offshore-hosting) [### How to Self-Host a Crypto Payment Gateway with BTCPay Server Operaciones Run your own non-custodial checkout on an offshore VPS: BTCPay Server, a pruned Bitcoin node, Lightning and Monero — how to size the disk, why the private keys must never touch the machine, and where KYC quietly reappears at the cash-out. FAQ di 8 domande](https://servhidden.com/it/guides/self-host-a-crypto-payment-gateway) ## Cifralo su hardware scelto per lo scopo VPS KVM con console VNC e caricamento di ISO personalizzate, oppure server dedicati bare-metal con IPMI e LUKS all'installazione — in sette giurisdizioni offshore, senza KYC, solo crypto. La tua passphrase, la tua chiave, nessuna identità collegata. [Vedi i Piani VPS](https://servhidden.com/it/vps) [Server dedicati](https://servhidden.com/it/dedicated) [Hosting offshore](https://servhidden.com/it/anonymous-hosting) ## Structured data (JSON-LD) ```json { "@context": "https://schema.org", "@type": "Organization", "@id": "https://servhidden.com/#organization", "name": "ServHidden", "url": "https://servhidden.com", "description": "VPS e server dedicati offshore in 7 giurisdizioni. Nessun KYC, nessun log, solo crypto. Privacy per architettura.", "logo": { "@type": "ImageObject", "url": "https://servhidden.com/ServHidden.webp", "width": 512, "height": 512 }, "foundingDate": "2025", "areaServed": [ { "@type": "Country", "name": "Iceland" }, { "@type": "Country", "name": "Panama" }, { "@type": "Country", "name": "Moldova" }, { "@type": "Country", "name": "Romania" }, { "@type": "Country", "name": "Switzerland" }, { "@type": "Country", "name": "Netherlands" }, { "@type": "Country", "name": "Russia" } ], "knowsAbout": [ "Offshore hosting", "Offshore VPS", "Bare-metal dedicated servers", "DMCA-ignored hosting", "No KYC hosting", "Cryptocurrency payments", "Privacy engineering", "Token-based authentication", "Anonymous domain name registration", "No-KYC domain registrar", "WHOIS privacy", "Cheap .com domains", "Crypto-paid domain names", "NVIDIA GPU compute", "Windows RDP hosting", "Agentic commerce" ], "contactPoint": { "@type": "ContactPoint", "contactType": "customer support", "url": "https://servhidden.com/contact", "availableLanguage": [ "en", "ru", "zh", "es", "fr", "de", "pt", "ar", "ja", "ko", "hi", "id", "it", "tr", "fa", "vi" ] }, "sameAs": [ "https://servhidden.com/canary", "https://servhidden.com/press" ] } ``` ```json { "@context": "https://schema.org", "@type": "WebSite", "@id": "https://servhidden.com/#website", "url": "https://servhidden.com", "name": "ServHidden", "publisher": { "@id": "https://servhidden.com/#organization" }, "inLanguage": [ "en", "ru", "zh", "es", "fr", "de", "pt", "ar", "ja", "ko", "hi", "id", "it", "tr", "fa", "vi" ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "headline": "Crittografia full-disk su un VPS: setup LUKS e cosa protegge davvero", "description": "Come cifrare un VPS con LUKS: volumi dati cifrati, cifratura full-root con sblocco remoto via SSH, le impostazioni che contano su un server piccolo, e cosa blocca davvero la crittografia del disco.", "image": "https://servhidden.com/assets/img/guides/full-disk-encryption-on-a-vps.webp?v=1787136235", "author": { "@type": "Organization", "@id": "https://servhidden.com/#editorial", "name": "ServHidden Editorial", "url": "https://servhidden.com/about", "description": "Operator-side editorial team writing about offshore hosting jurisdictions, offshore server architecture, self-hosted privacy stacks and crypto payments.", "knowsAbout": [ "Offshore hosting jurisdictions", "Data retention law", "MLAT and judicial cooperation", "WireGuard and OpenVPN deployment", "Tor relay operation", "Monero and Bitcoin payment privacy", "KVM virtualization and bare-metal hosting", "DMCA-ignored hosting" ], "parentOrganization": { "@id": "https://servhidden.com/#organization" } }, "publisher": { "@id": "https://servhidden.com/#organization" }, "datePublished": "2026-08-19T00:00:00+00:00", "dateModified": "2026-08-19T00:00:00+00:00", "mainEntityOfPage": "https://servhidden.com/guides/full-disk-encryption-on-a-vps", "inLanguage": "it", "keywords": "VPS full disk encryption, encrypt VPS with LUKS, LUKS remote unlock dropbear, encrypted VPS hosting, cryptsetup LUKS2 setup, encryption at rest server, protect data if server is seized, dedicated server disk encryption", "articleSection": "Operaciones", "wordCount": 3711 } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "La crittografia full-disk protegge il mio VPS dal provider di hosting?", "acceptedAnswer": { "@type": "Answer", "text": "Non mentre il server è in esecuzione. Una volta sbloccato il volume, la chiave si trova nella memoria del kernel sull'host fisico, e un avversario a livello di hypervisor può raggiungere quella memoria. Ciò da cui la crittografia protegge davvero è chiunque detenga il tuo storage mentre è chiuso: dischi dismessi o rivenduti, un volume riassegnato, una macchina sequestrata da spenta. Se il tuo modello di minaccia include davvero il provider, la risposta è un bare metal dedicato cifrato all'installazione con una passphrase che il provider non riceve mai, non un cifrario diverso su un VPS." } }, { "@type": "Question", "name": "Posso cifrare un VPS esistente senza reinstallarlo?", "acceptedAnswer": { "@type": "Answer", "text": "Puoi cifrare i tuoi dati senza reinstallare: crea un file container LUKS con fallocate, formattalo con cryptsetup luksFormat, aprilo, crea un filesystem al suo interno e sposta dentro il tuo database, l'archivio di posta e le chiavi. Ci vogliono circa quindici minuti e nessun downtime oltre al riavvio dei servizi interessati. Cifrare il filesystem di root in loco è una questione diversa — è possibile, è fragile, e reinstallare da un'ISO personalizzata con LVM cifrato è sia più veloce sia più sicuro." } }, { "@type": "Question", "name": "Come funziona lo sblocco remoto se non c'è nessuno alla console?", "acceptedAnswer": { "@type": "Answer", "text": "Un piccolo server SSH, dropbear, è incorporato nell'initramfs e parte prima che la root cifrata venga aperta. Installi dropbear-initramfs, aggiungi una chiave pubblica, dai un IP statico all'initramfs, lo ricostruisci, e a ogni avvio ti connetti sulla porta di dropbear ed esegui cryptroot-unlock. La passphrase la digiti tu e non viene mai memorizzata sul server. Non distribuirlo senza una console out-of-band — VNC su un VPS, IPMI su un server dedicato — perché se dropbear non riesce ad avviarsi, SSH non può soccorrerti." } }, { "@type": "Question", "name": "LUKS rallenta un server?", "acceptedAnswer": { "@type": "Answer", "text": "Su qualsiasi CPU con accelerazione hardware AES-NI, praticamente no. AES-XTS gira a diversi gigabyte al secondo per core, un valore superiore a quanto un singolo disco virtuale possa erogare, quindi il costo pratico è una manciata di punti percentuali di CPU sotto I/O intenso e un piccolo aumento di latenza. Esegui cryptsetup benchmark sulla tua macchina per vedere i numeri reali. Senza AES-NI il sovraccarico diventa significativo, ed è l'unica situazione in cui vale la pena considerare un cifrario alternativo." } }, { "@type": "Question", "name": "Cosa succede se perdo la passphrase?", "acceptedAnswer": { "@type": "Answer", "text": "I dati sono persi. Non esiste alcun meccanismo di recupero, nessun reset lato provider e nessuna backdoor — è esattamente la proprietà che stavi acquistando. Due cose riducono il rischio: LUKS2 supporta più slot per le chiavi, quindi aggiungi una seconda passphrase lunga o un file chiave conservato altrove, e fai il backup dell'header LUKS con cryptsetup luksHeaderBackup conservandolo fuori dal server. Un header danneggiato distrugge il volume esattamente come una passphrase dimenticata." } }, { "@type": "Question", "name": "La crittografia del disco è legale, e posso essere costretto a consegnare la chiave?", "acceptedAnswer": { "@type": "Answer", "text": "Usare la crittografia del disco è legale in tutte e sette le giurisdizioni in cui operiamo, ed è una pratica ordinaria, non un atto sospetto. La divulgazione forzata è una questione separata e segue la persona, non l'hardware: il Regno Unito, la Francia e l'Australia sono tra i paesi la cui legge può obbligare qualcuno a produrre una chiave di decrittazione o affrontare una sanzione per il rifiuto. Questo è determinato da dove ti trovi e quale tribunale ha giurisdizione su di te, e nessuna configurazione del server lo cambia." } }, { "@type": "Question", "name": "La crittografia aiuta se il server viene sequestrato mentre è in esecuzione?", "acceptedAnswer": { "@type": "Answer", "text": "No. Un server in esecuzione ha il volume montato e la chiave in memoria, quindi chiunque abbia accesso legge il filesystem esattamente come lo leggi tu — ed è proprio per questo che le apparecchiature vengono di norma sequestrate ancora accese. La crittografia a riposo è una protezione per un volume chiuso. Se la perdita improvvisa di custodia fa parte del tuo modello di minaccia, ciò che aiuta è tenere meno cose sulla macchina, conservare i backup altrove cifrati alla fonte, e scegliere una giurisdizione dove il processo legale per raggiungere la macchina è lento e limitato." } }, { "@type": "Question", "name": "Un file container LUKS è sicuro quanto cifrare un intero block device?", "acceptedAnswer": { "@type": "Answer", "text": "Dal punto di vista crittografico, sì — si applicano lo stesso header LUKS2, lo stesso cifrario e la stessa derivazione della chiave in entrambi i casi, e il container si comporta come un block device una volta aperto. Un disco separato è marginalmente più ordinato ed evita la frammentazione sul filesystem host, ma su un VPS a disco singolo il file container è l'approccio standard e non rinuncia a nulla che conti davvero. Ciò che cambia la sicurezza non è il formato del container, ma dove vive la chiave e quali dati ci metti effettivamente dentro." } } ] } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Home", "item": "https://servhidden.com/it/" }, { "@type": "ListItem", "position": 2, "name": "Guide di Hosting Privato", "item": "https://servhidden.com/it/guides" }, { "@type": "ListItem", "position": 3, "name": "Crittografia full-disk su un VPS: setup LUKS e cosa protegge davvero", "item": "https://servhidden.com/it/guides/full-disk-encryption-on-a-vps" } ] } ``` ```json { "@context": "https://schema.org", "@type": "HowTo", "name": "Crittografia full-disk su un VPS", "description": "Come cifrare un VPS con LUKS: volumi dati cifrati, cifratura full-root con sblocco remoto via SSH, le impostazioni che contano su un server piccolo, e cosa blocca davvero la crittografia del disco.", "image": "https://servhidden.com/assets/img/guides/full-disk-encryption-on-a-vps.webp?v=1787136235", "inLanguage": "it", "totalTime": "PT1H", "step": [ { "@type": "HowToStep", "position": 1, "name": "Cosa protegge davvero la crittografia a riposo", "text": "Crittografia a riposo significa che i byte sul supporto di storage sono testo cifrato ogni volta che il volume è chiuso. È un'affermazione circoscritta, e il suo valore dipende da una sola variabile: dove si trova la chiave nel momento in cui arriva l'avversario. SituazioneLUKS aiuta? Un disco vi…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#cosa-protegge-davvero-la-crittografia-a-riposo" }, { "@type": "HowToStep", "position": 2, "name": "Perché un VPS non è un laptop", "text": "Su un laptop il disegno è evidente di per sé. Digiti una passphrase all'avvio, la chiave esiste solo in RAM finché la macchina è accesa, e spegnerla chiude la questione. Un server non ha nessuno alla console. Qualcosa deve fornire la chiave a ogni avvio, e ogni candidato per «qualcosa» scambia di…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#perché-un-vps-non-è-un-laptop" }, { "@type": "HowToStep", "position": 3, "name": "I tre schemi che vale la pena distribuire", "text": "Non esiste un'unica configurazione corretta — esiste quella la cui modalità di guasto puoi accettare. Questi tre coprono sostanzialmente ogni caso reale. SchemaCosa copreCosto di un riavvioRischio di blocco 1. Volume dati cifrato, aperto a mano dopo l'avvioI dati che contano — database, archivio …", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#i-tre-schemi-che-vale-la-pena-distribuire" }, { "@type": "HowToStep", "position": 4, "name": "Cifrare un volume dati su un VPS in esecuzione", "text": "Questo è lo schema da usare per primo. Non si reinstalla nulla, il processo di avvio non cambia in alcun modo, e se commetti un errore il risultato peggiore è un file container che butti via. Quindici minuti su un server Debian o Ubuntu attivo. Installa gli strumenti. apt install cryptsetup. Se i…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#cifrare-un-volume-dati-su-un-vps-in-esecuzione" }, { "@type": "HowToStep", "position": 5, "name": "Cifratura full-root con sblocco remoto via SSH", "text": "Quando il requisito è che nulla di leggibile sopravviva a un sequestro a macchina spenta — log, cronologia della shell, elenchi dei pacchetti, la forma di ciò che esegui — anche il filesystem di root deve stare dentro il container. Il problema diventa allora far arrivare una passphrase a una macc…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#cifratura-full-root-con-sblocco-remoto-via-ssh" }, { "@type": "HowToStep", "position": 6, "name": "Le due impostazioni che contano, e la trappola dei VPS piccoli", "text": "LUKS2 usa per default AES-XTS con chiave a 512 bit e derivazione della chiave Argon2id. Entrambi sono corretti. Regolare manualmente il cifrario è un modo per essere più lenti e più deboli allo stesso tempo, e internet è pieno di righe di comando copiate che fanno esattamente questo. Due cose, tu…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#le-due-impostazioni-che-contano-e-la-trappola-dei-vps-piccol" }, { "@type": "HowToStep", "position": 7, "name": "Swap, log, snapshot — le parti che si dimenticano", "text": "Un vault cifrato con testo in chiaro che trapela intorno è il guasto più comune di tutti, e resta invisibile finché qualcuno non controlla. Swap. Qualsiasi cosa in memoria può finire su disco per paging, incluso il materiale che hai messo con cura nel vault. Disattiva lo swap, oppure assegnagli u…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#swap-log-snapshot-le-parti-che-si-dimenticano" }, { "@type": "HowToStep", "position": 8, "name": "Dove vive la chiave è tutto il progetto", "text": "Ogni schema descritto sopra è in realtà un'affermazione sulla custodia della chiave. Esistono quattro opzioni e non sono equivalenti: Nella tua testa, digitata a ogni avvio. Massima protezione, massimo attrito operativo. La macchina non può davvero essere letta senza di te. In un file sulla macch…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#dove-vive-la-chiave-è-tutto-il-progetto" }, { "@type": "HowToStep", "position": 9, "name": "Cosa può vedere il tuo provider, e dove entra in gioco la giurisdizione", "text": "Su un VPS c'è un hypervisor sotto di te. Non leggiamo la memoria del guest, e non conserviamo log di traffico, connessione o DNS, né una traccia della console — ma queste sono politiche, e la cornice onesta è che un VPS ti chiede di fidarti di esse. Su bare metal non c'è alcun hypervisor tra te e…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#cosa-può-vedere-il-tuo-provider-e-dove-entra-in-gioco-la-giu" }, { "@type": "HowToStep", "position": 10, "name": "Nove errori che trasformano la crittografia in decorazione", "text": "Sblocco automatico da un file chiave sullo stesso disco. La maggioranza dei server «cifrati», l'equivalente di lasciare la chiave nella toppa. Cifrare un volume che i dati sensibili non raggiungono mai. Il vault è vuoto e il database non ci sta dentro. Non fare mai il backup dell'header LUKS. Un …", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#nove-errori-che-trasformano-la-crittografia-in-decorazione" }, { "@type": "HowToStep", "position": 11, "name": "Quindi vale la pena farlo su un VPS?", "text": "Sì, con aspettative calibrate. Per un'ora di lavoro e nessun costo di gestione misurabile, un volume dati cifrato elimina un'intera classe di esposizione a cui non puoi altrimenti porre rimedio, e la elimina in modo permanente: hardware dismesso, storage riassegnato, una macchina spenta in custod…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#quindi-vale-la-pena-farlo-su-un-vps" } ] } ```