[Início](https://servhidden.com/pt) / [Guias de Hospedagem com Privacidade](https://servhidden.com/pt/guides) / Criptografia de Disco Completo em um VPS: LUKS e o Que Ela Protege Operações # Criptografia de Disco Completo em um VPS A criptografia de disco responde bem a uma pergunta e a várias outras não responde nada. Veja como configurar o LUKS em um servidor alugado — um volume de dados criptografado, criptografia completa da raiz com desbloqueio remoto via dropbear, ou hardware dedicado criptografado na instalação — e como saber quais das suas ameaças ela realmente elimina. [Ler o guia](#guide-body) [Perguntas frequentes](#guide-faq) ## Nesta página - [Guia](#guide-body) - [Perguntas frequentes](#guide-faq) - [Guias relacionados](#guide-related) - [Páginas recomendadas](#guide-cta) Sem KYC Somente Cripto Sem Logs DMCA ignorado Root Completo NVMe SSD 19 min de leitura Atualizado em Aug 2026 Nesta página [01Contra o que a criptografia em repouso realmente protege](#contra-o-que-a-criptografia-em-repouso-realmente-protege) [02Por que um VPS não é um laptop](#por-que-um-vps-não-é-um-laptop) [03Os três arranjos que valem a pena implantar](#os-três-arranjos-que-valem-a-pena-implantar) [04Criptografando um volume de dados em um VPS em execução](#criptografando-um-volume-de-dados-em-um-vps-em-execução) [05Criptografia completa da raiz com desbloqueio remoto via SSH](#criptografia-completa-da-raiz-com-desbloqueio-remoto-via-ssh) [06As duas configurações que importam, e a armadilha do VPS pequeno](#as-duas-configurações-que-importam-e-a-armadilha-do-vps-pequ) [07Swap, logs, snapshots — as partes que as pessoas esquecem](#swap-logs-snapshots-as-partes-que-as-pessoas-esquecem) [08Onde a chave vive é todo o design](#onde-a-chave-vive-é-todo-o-design) [09O que o seu provedor consegue ver, e onde a jurisdição assume o controle](#o-que-o-seu-provedor-consegue-ver-e-onde-a-jurisdição-assume) [10Nove erros que transformam a criptografia em decoração](#nove-erros-que-transformam-a-criptografia-em-decoração) [11Então vale a pena fazer isso em um VPS?](#então-vale-a-pena-fazer-isso-em-um-vps) [FAQPerguntas frequentes](#guide-faq) [→Páginas recomendadas](#guide-cta) A criptografia de disco completo responde exatamente a uma pergunta: o que um adversário obtém quando está com o seu armazenamento em mãos e a máquina está desligada? Toda outra pergunta que você possa ter — o que o provedor consegue ver, o que acontece se um servidor em execução for apreendido, se seus backups estão seguros — tem uma resposta diferente, e tratar todas como uma só é como as pessoas acabam com uma criptografia que não protege nada. Vale ser direto sobre essa distinção, porque "criptografado com LUKS" aparece em toda página de hospedagem voltada à privacidade neste setor, [a nossa inclusive](https://servhidden.com/pt/anonymous-hosting). É um controle real, custa quase nada para manter, e também é o controle mais superestimado em hospedagem. Este guia cobre o que a criptografia em repouso realmente impede em um servidor alugado, os três arranjos que valem a pena implantar e os comandos para cada um, as duas configurações que de fato importam em um VPS pequeno, e o punhado de erros que transforma todo o exercício em decoração. ## Contra o que a criptografia em repouso realmente protege Criptografia em repouso significa que os bytes no meio de armazenamento são texto cifrado sempre que o volume está fechado. É uma afirmação estreita, e seu valor depende de uma única variável: onde a chave está no momento em que o adversário chega. | Situação | O LUKS ajuda? | | --- | --- | | Um disco é desativado, devolvido em garantia ou revendido ao fim da vida útil | **Sim** — o caso de manual, e muito mais comum do que qualquer cenário dramático | | A máquina é apreendida desligada, ou o armazenamento é retirado do rack | **Sim**, desde que a chave não esteja na própria máquina | | O provedor copia seu disco virtual enquanto o servidor está em execução | A cópia é texto cifrado — mas a chave está na RAM do mesmo host físico | | Um adversário no nível do hipervisor despeja a memória do convidado | **Não.** A chave de um volume desbloqueado vive na memória do kernel | | Alguém obtém root no seu servidor em execução | **Não.** O sistema de arquivos está montado; essa pessoa o lê exatamente como você | | Seus backups saem da máquina em texto claro | **Não.** Isso se resolve na origem, não no destino | | Você é intimado a apresentar a senha | Não é uma questão técnica — abordado mais adiante | Leia isso como uma definição, não como uma decepção. Eliminar a classe de exposição do disco retirado vale a hora de trabalho justamente porque é a classe contra a qual você não tem nenhuma outra defesa, e a que acontece sem que ninguém esteja te visando: hardware falha e é devolvido, arrays são desativados, volumes são reatribuídos ao próximo locatário. A criptografia transforma tudo isso em um não evento. A criptografia em repouso responde bem a uma pergunta: quanto vale um volume fechado para quem estiver com ele em mãos. Onde a chave vive decide tudo o mais. ## Por que um VPS não é um laptop Em um laptop, o design é autoevidente. Você digita uma senha na inicialização, a chave existe apenas na RAM enquanto a máquina está ligada, e desligá-la encerra a história. Um servidor não tem ninguém no console. Algo precisa fornecer a chave a cada inicialização, e cada candidato a "algo" troca disponibilidade por proteção: - **Um humano a digita.** O arranjo mais forte, porque a chave nunca fica na máquina — mas o servidor não consegue voltar de uma reinicialização sem você, e você precisa de um caminho de entrada antes mesmo de o sistema operacional existir. - **A máquina a guarda.** Conveniente, e na maioria das configurações caseiras, autodestrutivo: um arquivo de chave no mesmo disco virtual significa que quem tiver o disco tem a chave. - **Outra máquina a entrega.** Desbloqueio vinculado à rede, geralmente Clevis com um servidor Tang. O servidor só se desbloqueia sozinho enquanto conseguir alcançar um host que você controla, o que é uma propriedade genuinamente útil — e um deslocamento de confiança, não uma eliminação dela. Há uma segunda diferença que a maioria dos guias ignora. Em um VPS, /boot e o initramfs são texto claro, ficam em um armazenamento que o provedor, em última instância, controla, e não existe uma cadeia de boot que você possa verificar — nenhum TPM que pertença a você, nenhum boot medido, nada a atestar. Um provedor que quisesse sua senha poderia alterar o initramfs e capturá-la na próxima vez que você desbloqueasse o volume. Isso não é a descrição de nada que fazemos; é a descrição do que a arquitetura permite, que é a única forma honesta de raciocinar sobre um computador que você aluga. Nossa [comparação entre VPS e dedicado](https://servhidden.com/pt/guides/vps-vs-dedicated-for-privacy) percorre a mesma fronteira de confiança pelo lado do hardware, e [nossa resposta honesta sobre anonimato offshore](https://servhidden.com/pt/guides/is-offshore-hosting-truly-anonymous) aplica a mesma disciplina ao marketing em torno do assunto. ## Os três arranjos que valem a pena implantar Não existe uma única configuração correta — existe aquela cujo modo de falha você consegue conviver. Estes três cobrem essencialmente todos os casos reais. | Arranjo | O que cobre | Custo de uma reinicialização | Risco de bloqueio | | --- | --- | --- | --- | | **1.** Volume de dados criptografado, aberto manualmente após o boot | Os dados que importam — banco de dados, caixa de e-mail, documentos, chaves | O servidor volta sozinho; o cofre espera por você | Muito baixo | | **2.** LUKS de raiz completa com desbloqueio remoto via dropbear | Tudo: logs do sistema, configuração, swap, o pacote completo | Toda reinicialização precisa de você, via SSH, antes de o boot terminar | Real — uma configuração de rede quebrada no initramfs deixa a máquina isolada | | **3.** Hardware dedicado criptografado na instalação, senha digitada via IPMI | Tudo, sem nenhum hipervisor abaixo da chave | Toda reinicialização precisa de você, no console fora de banda | Baixo — o IPMI é um caminho de entrada independente | Comece pelo primeiro, a menos que você tenha um motivo específico para não fazê-lo. Ele entrega a maior parte da proteção por uma fração do risco operacional, e tem a única propriedade que os outros dois não têm: nada nele pode impedir o servidor de voltar a ficar on-line. O arranjo três é o único em que a senha é um fato que o provedor não consegue alcançar, em vez de uma promessa que o provedor faz, e é por isso que nossos [servidores dedicados](https://servhidden.com/pt/dedicated) recebem o LUKS na instalação com uma senha que nunca vemos. ## Criptografando um volume de dados em um VPS em execução Este é o arranjo a buscar primeiro. Nada é reinstalado, nada no processo de boot muda, e se você cometer um erro o pior resultado é um arquivo de contêiner que você descarta. Quinze minutos em um servidor Debian ou Ubuntu ativo. - **Instale as ferramentas.** apt install cryptsetup. Se o seu plano veio com um segundo dispositivo de bloco, use-o diretamente e pule a próxima etapa. - **Crie um contêiner.** Em um VPS de disco único, o caminho prático é um arquivo: fallocate -l 40G /var/lib/vault.img. Ele se comporta como um disco e pode ser expandido depois. - **Formate-o como LUKS2.** cryptsetup luksFormat --type luks2 /var/lib/vault.img. Aceite os padrões para a cifra; a seção abaixo cobre o único parâmetro que vale a pena ajustar em um servidor pequeno. - **Abra-o e crie um sistema de arquivos.** cryptsetup open /var/lib/vault.img vault te dá /dev/mapper/vault; depois mkfs.ext4 /dev/mapper/vault e mount /dev/mapper/vault /srv/vault. - **Mova os dados que importam e depois aponte os serviços para lá.** Um bind mount, ou um rsync com o serviço parado, costuma ser mais limpo do que links simbólicos — bancos de dados, em particular, não gostam de ser seguidos por aí. - **Faça backup do cabeçalho do LUKS.** cryptsetup luksHeaderBackup /var/lib/vault.img --header-backup-file vault-header.bin, depois mova esse arquivo para fora do servidor. Alguns kilobytes corrompidos no início do contêiner destroem todos os bytes atrás deles, permanentemente, e essa é a única garantia que existe. - **Feche-o e comprove que consegue voltar a entrar.** umount /srv/vault && cryptsetup close vault, depois abra-o novamente a partir das suas anotações, não da memória. Faça isso antes de haver qualquer coisa de valor lá dentro. Depois de uma reinicialização, o cofre permanece fechado até você fazer login e abri-lo. Isso não é uma limitação para contornar com engenharia — é o objetivo inteiro. Um volume que se abre sozinho é um volume cuja chave está na máquina. **A armadilha da migração.** Copiar texto claro para dentro de um cofre criptografado não o desescreve de onde ele estava. Em armazenamento virtualizado, o shred é propositalmente pouco confiável — a camada que você está sobrescrevendo não é a camada que armazena os dados. Se o material for genuinamente sensível, comece criptografado em um servidor novo em vez de migrar para a criptografia no antigo. ## Criptografia completa da raiz com desbloqueio remoto via SSH Quando o requisito é que *nada* legível sobreviva a uma apreensão com a máquina desligada — logs, histórico do shell, listas de pacotes, o formato do que você roda — o sistema de arquivos raiz também precisa estar dentro do contêiner. O problema passa a ser levar uma senha até uma máquina que ainda não inicializou, e a resposta é um pequeno servidor SSH vivendo no initramfs. - **Instale já criptografado desde o início.** Inicie o instalador da distribuição por meio de [upload de ISO personalizada](https://servhidden.com/pt/vps) e escolha o particionamento guiado com LVM criptografado. Converter um sistema de arquivos raiz em execução é possível, mas não vale o risco. - **Adicione o servidor SSH de pré-boot.** apt install dropbear-initramfs, depois coloque sua chave pública em /etc/dropbear/initramfs/authorized_keys. Esse é um conjunto de chaves separado do seu SSH normal — use uma chave dedicada. - **Trave-o.** Em /etc/dropbear/initramfs/dropbear.conf, defina DROPBEAR_OPTIONS="-I 180 -j -k -p 2222 -s": sem login por senha, sem encaminhamento de porta, porta própria, e um tempo limite de inatividade para que uma sessão travada não mantenha o boot aberto. - **Dê uma rede ao initramfs.** Adicione um parâmetro ip= estático a GRUB_CMDLINE_LINUX em /etc/default/grub — o formato é ip=address::gateway:netmask::interface:off. Depender de DHCP nesta etapa é como as pessoas acabam trancadas para fora. - **Reconstrua e reinicie.** update-initramfs -u && update-grub, depois reinicie e conecte com ssh -p 2222 root@your-server e rode cryptroot-unlock. Seu cliente vai avisar sobre uma chave de host desconhecida: o initramfs tem a sua própria, o que é esperado e vale a pena fixar em uma entrada separada de known_hosts. - **Teste o caminho de falha antes de depender dele.** Instale uma atualização de kernel, reinicie, desbloqueie de novo. Atualizações de kernel regeneram o initramfs, e é exatamente nesse momento que uma configuração incorreta aparece. **Não implante isso sem um console fora de banda.** Se o dropbear não subir, o SSH não pode te ajudar — o único caminho de volta é um console que funciona antes mesmo do sistema operacional. Todo VPS da ServHidden vem com acesso a console VNC e todo servidor dedicado tem IPMI/KVM completo, então o caminho de recuperação existe. Em um provedor sem isso, o arranjo um é a única escolha responsável. ## As duas configurações que importam, e a armadilha do VPS pequeno Por padrão, o LUKS2 usa AES-XTS com chave de 512 bits e derivação de chave Argon2id. Ambos estão corretos. Ajustar a cifra manualmente é uma forma de ficar mais lento e mais fraco ao mesmo tempo, e a internet está cheia de linhas de comando copiadas que fazem exatamente isso. Duas coisas, porém, merecem sua atenção. ### Desempenho não é um problema, até ser Verifique a aceleração de hardware com grep -m1 -o aes /proc/cpuinfo e meça com cryptsetup benchmark. Em qualquer CPU com AES-NI — que é o caso de todo nó que operamos — o AES-XTS processa vários gigabytes por segundo por núcleo, folgadamente acima do que um único disco virtual entrega, então o custo visível é de alguns por cento de CPU sob I/O pesado e um pequeno aumento de latência. Sem AES-NI, o quadro se inverte e a criptografia vira o gargalo; esse é o único caso em que uma cifra alternativa é uma decisão real, e não um culto à carga. ### A memória do Argon2id é o que morde O Argon2id é deliberadamente faminto por memória, e o cryptsetup o calibra no momento da formatação em relação à RAM da máquina em que você está formatando. Formate um volume em uma workstation de 32 GB, mova-o para um VPS de 1 GB, e o desbloqueio pode falhar completamente porque a memória exigida pela derivação de chave não está disponível — pior ainda dentro de um initramfs, onde há muito menos disponível do que em um sistema em execução. Em instâncias pequenas, fixe o valor: cryptsetup luksFormat --type luks2 --pbkdf argon2id --pbkdf-memory 262144 /dev/vdb limita a 256 MB. Um valor menor é uma redução real na resistência a ataques de força bruta offline, então compense com uma senha mais longa. Uma flag opcional merece uma decisão consciente, não um copiar e colar: --allow-discards repassa o TRIM para o dispositivo subjacente, o que é bom para o desgaste do SSD e o desempenho em regime permanente, e que também revela quanto do volume está em uso e aproximadamente onde. Ela vem desativada por padrão. Ative-a sabendo o que ela vaza. ## Swap, logs, snapshots — as partes que as pessoas esquecem Um cofre criptografado com texto claro vazando ao redor dele é a falha mais comum de todas, e ela permanece invisível até alguém olhar. - **Swap.** Qualquer coisa na memória pode ser paginada para o disco, incluindo material que você cuidadosamente colocou no cofre. Desative o swap, ou dê a ele uma chave aleatória a cada boot com uma linha em /etc/crypttab como swap /dev/vdb1 /dev/urandom swap,cipher=aes-xts-plain64,size=256. - **Tudo que escreve onde você não olhou.** /var/log, /tmp, o diretório de dados do banco de dados, /var/lib/docker, histórico do shell, journals do systemd. Criptografar /srv/vault enquanto o PostgreSQL escreve em /var/lib/postgresql não realiza absolutamente nada. Enumere antes de criptografar. - **Snapshots.** Um snapshot em nível de bloco de um volume criptografado é texto cifrado e, portanto, está tudo bem. Um snapshot que captura o estado da memória é um objeto completamente diferente e pode conter a chave. Saiba qual tipo o painel do seu provedor faz antes de usá-lo. - **Backups.** O destino é o lugar errado para resolver isso. Ferramentas como restic e BorgBackup criptografam na origem, com uma chave que o destino nunca vê, e é por isso que um [servidor de backup](https://servhidden.com/pt/use-cases/backup-server-hosting) pode ser uma máquina comum em outra jurisdição, em vez de uma confiável. - **O texto claro que você já enviou para algum lugar.** A criptografia em repouso não é retroativa. Qualquer coisa já copiada, enviada por e-mail ou sincronizada em outro lugar fica fora do limite que você está traçando agora. ## Onde a chave vive é todo o design Cada arranjo acima é, na verdade, uma declaração sobre a custódia da chave. Existem quatro opções, e elas não são equivalentes: - **Na sua cabeça, digitada a cada boot.** Proteção máxima, atrito operacional máximo. A máquina genuinamente não pode ser lida sem você. - **Em um arquivo na máquina criptografada.** Protege contra uma revenda ingênua do disco e nada mais. Se esse arquivo estiver em um /boot em texto claro, ele não protege absolutamente nada — o erro mais comum na criptografia autogerenciada. - **Em uma máquina que você controla, obtida pela rede.** Clevis vinculado a um servidor Tang: clevis luks bind -d /dev/vdb tang '{"url":"https://tang.example.net"}'. O servidor inicializa sem intervenção enquanto consegue alcançar sua casa, e se recusa a desbloquear em qualquer outro lugar. Excelente para frotas headless, e isso faz do host Tang a coisa que precisa ser defendida. - **Em um TPM.** Significativo em hardware que você possui. Em um VPS, o TPM virtual é fornecido pelo mesmo hipervisor que você está tentando excluir, então ele resolve conveniência, não confiança. Um teste resolve a maioria dos designs: **se a máquina consegue chegar a um prompt de login sem você, a chave está na máquina.** Essa pode ser uma troca perfeitamente razoável — muitas cargas de trabalho querem reinicializações sem intervenção mais do que querem resistência a um adversário determinado. Faça a escolha deliberadamente, e não descreva o resultado como algo que ele não é. ## O que o seu provedor consegue ver, e onde a jurisdição assume o controle Em um VPS, um hipervisor fica abaixo de você. Nós não lemos a memória do convidado, e não mantemos logs de tráfego, conexão ou DNS, nem rastro de console — mas essas são políticas, e a moldura honesta é que um VPS pede que você confie nelas. Em hardware dedicado não há hipervisor entre você e o silício: a criptografia de disco completo configurada na instalação, com uma senha que nunca recebemos, é uma propriedade física da máquina, não uma garantia dada por nós. Essa diferença, não a escolha da cifra, é o que você está realmente escolhendo. É por isso que criptografia e jurisdição são duas metades de uma mesma resposta. A criptografia decide quanto vale uma cópia do seu disco; a jurisdição decide quem pode obrigar a máquina a ser apresentada, por qual processo e com que rapidez. Operamos em sete — Islândia, Suíça, Panamá, Romênia, Moldávia, Holanda e Rússia — e o raciocínio para escolher entre elas está no nosso [guia de jurisdição](https://servhidden.com/pt/guides/choosing-an-offshore-jurisdiction), ou de forma mais resumida pelo [seletor de jurisdição](https://servhidden.com/pt/jurisdiction-selector) e pela [página de localizações](https://servhidden.com/pt/locations). A parte que a criptografia não consegue tocar é a divulgação compulsória, porque ela mira em você, não no hardware. Reino Unido, França e Austrália estão entre os países cuja lei pode exigir que uma pessoa apresente uma chave de decriptografia ou enfrente uma penalidade por se recusar. Essa exposição segue para onde *você* está, não para onde o servidor está, e nenhuma configuração na máquina muda isso. Cadastrar-se sem documentos de identidade limita, desde o início, o quanto de rastro em papel existe — a razão prática e nada glamorosa pela qual [hospedagem sem KYC](https://servhidden.com/pt/no-kyc-hosting) e criptografia acabam na mesma conversa — mas não é uma defesa contra um tribunal que já tem o seu nome. ## Nove erros que transformam a criptografia em decoração - **Desbloqueio automático a partir de um arquivo de chave no mesmo disco.** A maioria dos servidores "criptografados", e o equivalente a deixar a chave na fechadura. - **Criptografar um volume que os dados sensíveis nunca alcançam.** O cofre está vazio e o banco de dados não está nele. - **Nunca fazer backup do cabeçalho do LUKS.** Um setor danificado no início do contêiner e cada byte atrás dele se perde para sempre. - **Nunca testar o caminho de desbloqueio.** Aí uma atualização de kernel regenera o initramfs e a próxima reinicialização vira uma operação de resgate. - **Formatar em uma máquina grande e desbloquear em uma pequena.** O Argon2id pede uma memória que o VPS não consegue fornecer, e o volume não abre. - **Escolher uma senha como se fosse uma senha de login.** Nada limita a taxa de um ataque offline, exceto a função de derivação de chave. É o comprimento que compra tempo. - **Migrar texto claro para dentro da criptografia e presumir que o original sumiu.** Em armazenamento virtualizado, sobrescrever não apaga de forma confiável. - **Enviar a senha pelo mesmo canal usado para administrar a máquina.** O [OpSec de servidor](https://servhidden.com/pt/guides/server-opsec-staying-anonymous) cobre o problema de correlação que isso cria. - **Confundir a criptografia do seu provedor com a sua própria.** "Toda a infraestrutura é criptografada em repouso" — a nossa inclusive — protege a infraestrutura. Só uma chave que você guarda te protege da infraestrutura. ## Então vale a pena fazer isso em um VPS? Sim, com expectativas calibradas. Por uma hora de trabalho e sem custo operacional mensurável, um volume de dados criptografado elimina uma classe inteira de exposição que você não conseguiria resolver de outra forma, e a elimina permanentemente: hardware aposentado, armazenamento reatribuído, uma máquina desligada sob a custódia de outra pessoa. Faça pelo menos isso em todo servidor que guarde algo que importa, logo depois da [checklist de blindagem da primeira hora](https://servhidden.com/pt/guides/first-hour-vps-hardening-checklist). O que isso não faz é transformar um computador alugado no seu computador. Se o seu modelo de ameaça tem o próprio provedor como adversário, nenhuma cifra resolve isso — a resposta é o [hardware dedicado](https://servhidden.com/pt/dedicated), onde a chave é digitada via IPMI e nunca passa por um hipervisor, uma jurisdição escolhida de propósito, e a disciplina de não colocar em nenhum servidor o que não precisa estar lá. Ajustar o controle à ameaça real é a diferença entre privacidade e a aparência dela. Perguntas frequentes ## Criptografar um servidor — perguntas frequentes ### 01 A criptografia de disco completo protege meu VPS do provedor de hospedagem? Não enquanto o servidor está em execução. Assim que você desbloqueia o volume, a chave fica na memória do kernel no host físico, e um adversário no nível do hipervisor consegue alcançar essa memória. O que a criptografia protege é contra qualquer pessoa que esteja com o seu armazenamento enquanto ele está fechado: discos desativados ou revendidos, um volume reatribuído, uma máquina apreendida desligada. Se o seu modelo de ameaça realmente inclui o provedor, a resposta é um hardware dedicado bare-metal criptografado na instalação, com uma senha que o provedor nunca recebe, e não uma cifra diferente em um VPS. ### 02 Posso criptografar um VPS existente sem reinstalá-lo? Você pode criptografar seus dados sem reinstalar: crie um arquivo de contêiner LUKS com fallocate, formate-o com cryptsetup luksFormat, abra-o, coloque um sistema de arquivos nele e mova seu banco de dados, caixa de e-mail e chaves para dentro. Isso leva cerca de quinze minutos e nenhum tempo de inatividade além de reiniciar os serviços afetados. Criptografar o sistema de arquivos raiz no local é outra questão - é possível, é frágil, e reinstalar a partir de uma ISO personalizada com LVM criptografado é ao mesmo tempo mais rápido e mais seguro. ### 03 Como funciona o desbloqueio remoto se não há ninguém no console? Um pequeno servidor SSH, o dropbear, fica embutido no initramfs e é iniciado antes de a raiz criptografada ser aberta. Você instala o dropbear-initramfs, adiciona uma chave pública, dá um IP estático ao initramfs, o reconstrói, e em cada boot você se conecta na porta do dropbear e roda cryptroot-unlock. A senha é digitada por você e nunca fica armazenada no servidor. Não implante isso sem um console fora de banda - VNC em um VPS, IPMI em um servidor dedicado - porque se o dropbear não subir, o SSH não pode te resgatar. ### 04 O LUKS deixa um servidor mais lento? Em qualquer CPU com aceleração de hardware AES-NI, na prática não. O AES-XTS roda a vários gigabytes por segundo por núcleo, o que está acima do que um único disco virtual entrega, então o custo prático é de alguns por cento de CPU sob I/O pesado e um pequeno aumento de latência. Rode cryptsetup benchmark na sua própria máquina para ver números reais. Sem AES-NI, a sobrecarga se torna significativa, e essa é a única situação em que vale a pena considerar uma cifra alternativa. ### 05 O que acontece se eu perder a senha? Os dados se perdem. Não há mecanismo de recuperação, nenhuma redefinição pelo lado do provedor e nenhuma porta dos fundos - essa é a propriedade que você estava comprando. Duas coisas reduzem o risco: o LUKS2 suporta múltiplos slots de chave, então adicione uma segunda senha longa ou um arquivo de chave guardado em outro lugar, e faça backup do cabeçalho do LUKS com cryptsetup luksHeaderBackup e guarde-o fora do servidor. Um cabeçalho danificado destrói o volume com a mesma eficácia que uma senha esquecida. ### 06 A criptografia de disco é legal, e posso ser forçado a entregar a chave? Usar criptografia de disco é legal em todas as sete jurisdições em que operamos, e é uma prática comum, não um ato suspeito. A divulgação compulsória é uma questão separada, e ela segue a pessoa, não o hardware: Reino Unido, França e Austrália estão entre os países cuja lei pode exigir que alguém apresente uma chave de decriptografia ou enfrente uma penalidade por se recusar. Isso é determinado por onde você está e qual tribunal tem alcance sobre você, e nenhuma configuração no servidor muda isso. ### 07 A criptografia ajuda se o servidor for apreendido enquanto está em execução? Não. Um servidor em execução tem o volume montado e a chave na memória, então qualquer pessoa com acesso lê o sistema de arquivos exatamente como você - e por essa razão o equipamento normalmente é levado ligado. A criptografia em repouso é proteção para um volume fechado. Se a perda repentina de custódia faz parte do seu modelo de ameaça, o que ajuda é manter menos coisas na máquina, guardar backups em outro lugar criptografados na origem, e escolher uma jurisdição em que o processo legal para alcançar a máquina seja lento e restrito. ### 08 Um arquivo de contêiner LUKS é tão seguro quanto criptografar um dispositivo de bloco inteiro? Criptograficamente, sim - o mesmo cabeçalho LUKS2, a mesma cifra e a mesma derivação de chave se aplicam de qualquer forma, e o contêiner se comporta como um dispositivo de bloco depois de aberto. Um disco separado é marginalmente mais organizado e evita fragmentação no sistema de arquivos do host, mas em um VPS de disco único o arquivo de contêiner é a abordagem padrão e não abre mão de nada que importe. O que muda a segurança não é o formato do contêiner, é onde a chave vive e quais dados você efetivamente coloca dentro dele. Guias relacionados ## Continue lendo [### Como Escolher uma Jurisdição de Hospedagem Offshore em 2026 Compra Um framework de decisão prático para escolher uma jurisdição offshore: lei de retenção de dados, exposição a MLAT, postura sobre DMCA, velocidade dos tribunais e aplicação real — país a país. FAQ com 6 perguntas](https://servhidden.com/pt/guides/choosing-an-offshore-jurisdiction) [### VPS vs Servidor Dedicado para Cargas de Trabalho com Privacidade Crítica Compra Quando um VPS é suficiente, quando a multilocação é um risco, e quando o bare metal é a única resposta honesta. Isolamento de hardware, risco de hypervisor e custo vs modelo de ameaça. FAQ com 6 perguntas](https://servhidden.com/pt/guides/vps-vs-dedicated-for-privacy) [### VPN Auto-Hospedada em VPS Sem KYC: WireGuard vs OpenVPN Operações Por que uma VPN auto-hospedada supera os provedores comerciais e como WireGuard e OpenVPN realmente se comparam em privacidade, desempenho e risco operacional em 2026. FAQ com 6 perguntas](https://servhidden.com/pt/guides/self-hosted-vpn-wireguard-vs-openvpn) [### RTX 4090 vs H100 SXM5 para Inferência de IA (e Onde o RTX 5090 se Encaixa) Compra Guia de decisão de compra: qual GPU NVIDIA para LLM auto-hospedado, imagem, vídeo, voz e cargas de trabalho de ajuste fino em 2026. RTX 4090 vs RTX 5090 vs H100 SXM5 vs H100 duplo — VRAM, throughput, $/token, quando cada um vence. FAQ com 6 perguntas](https://servhidden.com/pt/guides/rtx-4090-vs-h100-for-ai-inference) [### RDP Windows Offshore para Trading Forex com MT4 / MT5 / cTrader Operações Guia completo: por que um RDP Windows para trading forex, como escolher uma jurisdição offshore de baixa latência, configuração de MT4 / MT5 / cTrader / Expert Advisor, latência para servidores de corretora e o caminho de checkout sem KYC. FAQ com 6 perguntas](https://servhidden.com/pt/guides/offshore-windows-rdp-for-forex-trading) [### Hospedagem DMCA-Ignorada Explicada: O Que Realmente Significa em 2026 Compra O que a hospedagem "DMCA ignorado" realmente oferece, quais jurisdições de fato a sustentam, os tipos de carga que a necessitam, e as armadilhas de direitos autorais que o termo não cobre. FAQ com 6 perguntas](https://servhidden.com/pt/guides/dmca-ignored-hosting-explained) [### Registro Anônimo de Domínio com Cripto: Privacidade WHOIS em 2026 Privacidade Um guia prático para 2026 sobre como registrar domínios sem revelar sua identidade: regimes WHOIS por TLD, escolha de registrador, opções de pagamento em cripto e os erros operacionais que ainda assim vão te expor. FAQ com 6 perguntas](https://servhidden.com/pt/guides/anonymous-domain-registration-with-crypto) [### Pagamentos Cripto para Hospedagem: Monero vs Bitcoin vs USDT Privacidade Como a escolha da moeda afeta o que seu host aprende sobre você. Privacidade, taxas, finalidade e exposição à análise de blockchain para XMR, BTC e USDT — com uma recomendação clara. FAQ com 6 perguntas](https://servhidden.com/pt/guides/crypto-payments-monero-vs-bitcoin-vs-usdt) [### Hospedagem offshore é realmente anônima? Uma resposta honesta Privacidade Hospedagem offshore sem KYC remove a identidade que um provedor comum coleta — mas "anônimo" depende do pagamento, dos logs do provedor e da sua própria segurança operacional. Veja o que é realmente rastreável. FAQ com 6 perguntas](https://servhidden.com/pt/guides/is-offshore-hosting-truly-anonymous) [### A primeira hora de hardening do VPS: um checklist Operações Um checklist concreto e ordenado para proteger um VPS novo em menos de uma hora: chaves SSH, firewall, fail2ban, atualizações automáticas e a redução da superfície de ataque que barra a maioria dos ataques oportunistas. FAQ com 6 perguntas](https://servhidden.com/pt/guides/first-hour-vps-hardening-checklist) [### O Que É Hospedagem Sem KYC? Definição, Legalidade e Como Funciona Privacidade A hospedagem sem KYC permite alugar um servidor sem nenhuma verificação de identidade — sem nome, sem e-mail, sem documento. Aqui está exatamente o que isso significa, como funciona tecnicamente, se é legal e como escolher um provedor de verdade. FAQ com 6 perguntas](https://servhidden.com/pt/guides/what-is-no-kyc-hosting) [### Hospedagem Offshore É Legal? A Resposta Honesta para 2026 Compra Hospedagem offshore é legal — para você e para o provedor. Aqui está o que o termo realmente significa, onde a linha legal de fato se situa, os mitos que vale descartar, e como utilizá-la de forma responsável. FAQ com 6 perguntas](https://servhidden.com/pt/guides/is-offshore-hosting-legal) [### Como Pagar por Hospedagem com Monero (XMR) — Passo a Passo Privacidade Um guia passo a passo para pagar por um VPS ou servidor dedicado com Monero (XMR): por que o XMR é a opção mais privada, como obtê-lo e como funciona o processo de pagamento — da fatura ao servidor em funcionamento em minutos. FAQ com 6 perguntas](https://servhidden.com/pt/guides/how-to-pay-for-hosting-with-monero) [### Como Hospedar um Site de Forma Anônima — Guia Prático 2026 Privacidade Um guia prático e em camadas para hospedar um site sem nenhuma identidade vinculada: a conta, o pagamento, o domínio, a jurisdição, a sua conexão e o conteúdo — cada camada explicada. FAQ com 6 perguntas](https://servhidden.com/pt/guides/how-to-host-a-website-anonymously) [### Como Configurar uma VPN WireGuard em um VPS — Guia Passo a Passo Operações Monte sua própria VPN privada em um VPS com WireGuard: por que uma VPN auto-hospedada supera as comerciais, o processo completo desde a instalação até o primeiro cliente conectado, e como reforçar a segurança. FAQ com 6 perguntas](https://servhidden.com/pt/guides/how-to-set-up-wireguard-vpn-on-a-vps) [### Como Hospedar um LLM em um Servidor GPU — Guia 2026 Operações Execute seu próprio modelo de linguagem em um servidor GPU alugado: por que hospedar seu próprio LLM supera uma API, qual GPU e modelo escolher, a configuração com Ollama ou vLLM, e quanto custa. FAQ com 6 perguntas](https://servhidden.com/pt/guides/self-host-an-llm-on-a-gpu-server) [### Hospedagem Bulletproof vs Hospedagem Offshore — Qual é a Diferença? Compra Hospedagem bulletproof e hospedagem offshore são constantemente confundidas — e não são a mesma coisa. Veja a diferença real, por que isso importa e qual das duas você realmente precisa. FAQ com 6 perguntas](https://servhidden.com/pt/guides/bulletproof-vs-offshore-hosting) [### Como Comprar um VPS com Bitcoin — Passo a Passo (2026) Compra Um guia completo para iniciantes sobre como comprar um VPS com Bitcoin: como obter BTC, escolher um plano, pagar a fatura e o que você recebe — um servidor funcionando sem cartão e sem nome associado. FAQ com 6 perguntas](https://servhidden.com/pt/guides/how-to-buy-a-vps-with-bitcoin) [### Melhores Países para Hospedagem com DMCA Ignorado em 2026 Compra Onde hospedar quando você quer servidores além do alcance fácil das remoções ao estilo americano: as jurisdições que funcionam, o que DMCA ignorado realmente significa e como escolher. FAQ com 6 perguntas](https://servhidden.com/pt/guides/best-countries-for-dmca-ignored-hosting) [### Como Hospedar um Serviço Oculto Tor (Site .onion) — Guia 2026 Operações Configure um serviço onion Tor em um VPS: o que é um serviço oculto, por que é a forma mais robusta de hospedagem anônima, o processo completo de configuração e como mantê-lo verdadeiramente anônimo. FAQ com 6 perguntas](https://servhidden.com/pt/guides/how-to-host-a-tor-hidden-service) [### Configuração de Servidor de E-mail Offshore — Hospede Seu Próprio E-mail Privado em 2026 Operações Execute seu próprio servidor de e-mail privado em um VPS offshore: por que hospedar e-mail você mesmo, o que é necessário, a configuração prática com uma stack de e-mail completa e como garantir a entregabilidade. FAQ com 6 perguntas](https://servhidden.com/pt/guides/offshore-mail-server-setup) [### Guia de Hospedagem de Nó de Criptomoeda — Execute um Nó Blockchain em um VPS Operações Como hospedar um nó blockchain em um servidor: por que executar seu próprio nó, dimensionamento do servidor para Bitcoin, Ethereum, Monero e outros, a configuração e como manter a privacidade. FAQ com 6 perguntas](https://servhidden.com/pt/guides/crypto-node-hosting-guide) [### Hospedagem GPU para Stable Diffusion — Rode Seu Próprio Servidor de Imagens Operações Rode o Stable Diffusion no seu próprio servidor GPU: por que hospedar geração de imagens localmente, qual GPU escolher, como configurar com uma interface web e quanto custa em comparação a um serviço hospedado. FAQ com 6 perguntas](https://servhidden.com/pt/guides/gpu-hosting-for-stable-diffusion) [### OpSec para Servidores — Como Manter o Anonimato ao Operar um Servidor Privacidade Segurança operacional para quem administra um servidor anônimo: os erros que expõem identidades, os hábitos que os previnem e como manter identidades verdadeiramente separadas. FAQ com 6 perguntas](https://servhidden.com/pt/guides/server-opsec-staying-anonymous) [### Guia de Configuração de Seedbox — Monte Sua Própria Seedbox Privada em 2026 Operações Como montar sua própria seedbox em um servidor: o que é uma seedbox, como dimensioná-la, instalar um cliente torrent com interface web e mantê-la privada e segura. FAQ com 6 perguntas](https://servhidden.com/pt/guides/seedbox-setup-guide) [### Como Contornar a Censura por DPI com Seu Próprio VPS (Guia 2026) Privacidade Sua VPN parou de funcionar? Como contornar a censura por DPI com seu próprio VPS: o que a inspeção profunda de pacotes realmente detecta, qual dos cinco protocolos de 2026 vence qual tipo de bloqueio, e um passo a passo completo de VLESS+REALITY. FAQ com 6 perguntas](https://servhidden.com/pt/guides/bypass-dpi-censorship-with-your-own-vps) [### Ocultar o IP do Servidor de Origem: CDNs, Proxies Reversos e o Que Ainda Vaza Privacidade Colocar ou não um CDN na frente de um servidor offshore: o que ele esconde, a central de reclamações que você herda, as seis formas como o IP de origem vaza, e como auditar o seu. FAQ com 8 perguntas](https://servhidden.com/pt/guides/hiding-your-origin-server-ip) [### Backup de VPS: Criptografado, Externo e Restaurável de Verdade Operações Sua hospedagem não guarda backup. O que realmente destrói servidores, por que backup via push morre junto com a origem, restic vs Borg, e como testar um restore. FAQ com 8 perguntas](https://servhidden.com/pt/guides/vps-backup-strategy) [### Hospedar Servidor Matrix Próprio: Federação e Metadados Operações O que um servidor Matrix próprio realmente muda: Synapse ou Conduit, o server_name que você nunca poderá trocar, e a mídia que lota o disco rapidamente. FAQ com 8 perguntas](https://servhidden.com/pt/guides/self-host-a-matrix-server) [### Como Migrar um Site para Hospedagem Offshore sem Downtime Operações A ordem que torna a migração de host tediosa: baixar o TTL do DNS dias antes, rodar os dois servidores em paralelo, congelar as escritas por minutos em vez de horas — e limpar o rastro de DNS passivo, Certificate Transparency e WHOIS que a mudança deixa para trás. FAQ com 8 perguntas](https://servhidden.com/pt/guides/migrate-website-to-offshore-hosting) [### How to Self-Host a Crypto Payment Gateway with BTCPay Server Operações Run your own non-custodial checkout on an offshore VPS: BTCPay Server, a pruned Bitcoin node, Lightning and Monero — how to size the disk, why the private keys must never touch the machine, and where KYC quietly reappears at the cash-out. FAQ com 8 perguntas](https://servhidden.com/pt/guides/self-host-a-crypto-payment-gateway) ## Criptografe em hardware escolhido para esse fim VPS KVM com console VNC e upload de ISO personalizada, ou servidores dedicados bare-metal com IPMI e LUKS na instalação — em sete jurisdições offshore, sem KYC, só cripto. Sua senha, sua chave, nenhuma identidade vinculada. [Ver Planos VPS](https://servhidden.com/pt/vps) [Servidores Dedicados](https://servhidden.com/pt/dedicated) [Hospedagem offshore](https://servhidden.com/pt/anonymous-hosting) ## Structured data (JSON-LD) ```json { "@context": "https://schema.org", "@type": "Organization", "@id": "https://servhidden.com/#organization", "name": "ServHidden", "url": "https://servhidden.com", "description": "VPS e servidores dedicados offshore em 7 jurisdições privacy-friendly. Sem KYC, sem logs, apenas cripto. Privacidade por arquitetura.", "logo": { "@type": "ImageObject", "url": "https://servhidden.com/ServHidden.webp", "width": 512, "height": 512 }, "foundingDate": "2025", "areaServed": [ { "@type": "Country", "name": "Iceland" }, { "@type": "Country", "name": "Panama" }, { "@type": "Country", "name": "Moldova" }, { "@type": "Country", "name": "Romania" }, { "@type": "Country", "name": "Switzerland" }, { "@type": "Country", "name": "Netherlands" }, { "@type": "Country", "name": "Russia" } ], "knowsAbout": [ "Offshore hosting", "Offshore VPS", "Bare-metal dedicated servers", "DMCA-ignored hosting", "No KYC hosting", "Cryptocurrency payments", "Privacy engineering", "Token-based authentication", "Anonymous domain name registration", "No-KYC domain registrar", "WHOIS privacy", "Cheap .com domains", "Crypto-paid domain names", "NVIDIA GPU compute", "Windows RDP hosting", "Agentic commerce" ], "contactPoint": { "@type": "ContactPoint", "contactType": "customer support", "url": "https://servhidden.com/contact", "availableLanguage": [ "en", "ru", "zh", "es", "fr", "de", "pt", "ar", "ja", "ko", "hi", "id", "it", "tr", "fa", "vi" ] }, "sameAs": [ "https://servhidden.com/canary", "https://servhidden.com/press" ] } ``` ```json { "@context": "https://schema.org", "@type": "WebSite", "@id": "https://servhidden.com/#website", "url": "https://servhidden.com", "name": "ServHidden", "publisher": { "@id": "https://servhidden.com/#organization" }, "inLanguage": [ "en", "ru", "zh", "es", "fr", "de", "pt", "ar", "ja", "ko", "hi", "id", "it", "tr", "fa", "vi" ] } ``` ```json { "@context": "https://schema.org", "@type": "Article", "headline": "Criptografia de Disco Completo em um VPS: LUKS e o Que Ela Protege", "description": "Como criptografar um VPS com LUKS: volumes de dados, raiz completa com desbloqueio via SSH, as configurações que importam em um servidor pequeno, e o que a criptografia de disco realmente impede.", "image": "https://servhidden.com/assets/img/guides/full-disk-encryption-on-a-vps.webp?v=1787136235", "author": { "@type": "Organization", "@id": "https://servhidden.com/#editorial", "name": "ServHidden Editorial", "url": "https://servhidden.com/about", "description": "Operator-side editorial team writing about offshore hosting jurisdictions, offshore server architecture, self-hosted privacy stacks and crypto payments.", "knowsAbout": [ "Offshore hosting jurisdictions", "Data retention law", "MLAT and judicial cooperation", "WireGuard and OpenVPN deployment", "Tor relay operation", "Monero and Bitcoin payment privacy", "KVM virtualization and bare-metal hosting", "DMCA-ignored hosting" ], "parentOrganization": { "@id": "https://servhidden.com/#organization" } }, "publisher": { "@id": "https://servhidden.com/#organization" }, "datePublished": "2026-08-19T00:00:00+00:00", "dateModified": "2026-08-19T00:00:00+00:00", "mainEntityOfPage": "https://servhidden.com/guides/full-disk-encryption-on-a-vps", "inLanguage": "pt", "keywords": "VPS full disk encryption, encrypt VPS with LUKS, LUKS remote unlock dropbear, encrypted VPS hosting, cryptsetup LUKS2 setup, encryption at rest server, protect data if server is seized, dedicated server disk encryption", "articleSection": "Operações", "wordCount": 3654 } ``` ```json { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "A criptografia de disco completo protege meu VPS do provedor de hospedagem?", "acceptedAnswer": { "@type": "Answer", "text": "Não enquanto o servidor está em execução. Assim que você desbloqueia o volume, a chave fica na memória do kernel no host físico, e um adversário no nível do hipervisor consegue alcançar essa memória. O que a criptografia protege é contra qualquer pessoa que esteja com o seu armazenamento enquanto ele está fechado: discos desativados ou revendidos, um volume reatribuído, uma máquina apreendida desligada. Se o seu modelo de ameaça realmente inclui o provedor, a resposta é um hardware dedicado bare-metal criptografado na instalação, com uma senha que o provedor nunca recebe, e não uma cifra diferente em um VPS." } }, { "@type": "Question", "name": "Posso criptografar um VPS existente sem reinstalá-lo?", "acceptedAnswer": { "@type": "Answer", "text": "Você pode criptografar seus dados sem reinstalar: crie um arquivo de contêiner LUKS com fallocate, formate-o com cryptsetup luksFormat, abra-o, coloque um sistema de arquivos nele e mova seu banco de dados, caixa de e-mail e chaves para dentro. Isso leva cerca de quinze minutos e nenhum tempo de inatividade além de reiniciar os serviços afetados. Criptografar o sistema de arquivos raiz no local é outra questão - é possível, é frágil, e reinstalar a partir de uma ISO personalizada com LVM criptografado é ao mesmo tempo mais rápido e mais seguro." } }, { "@type": "Question", "name": "Como funciona o desbloqueio remoto se não há ninguém no console?", "acceptedAnswer": { "@type": "Answer", "text": "Um pequeno servidor SSH, o dropbear, fica embutido no initramfs e é iniciado antes de a raiz criptografada ser aberta. Você instala o dropbear-initramfs, adiciona uma chave pública, dá um IP estático ao initramfs, o reconstrói, e em cada boot você se conecta na porta do dropbear e roda cryptroot-unlock. A senha é digitada por você e nunca fica armazenada no servidor. Não implante isso sem um console fora de banda - VNC em um VPS, IPMI em um servidor dedicado - porque se o dropbear não subir, o SSH não pode te resgatar." } }, { "@type": "Question", "name": "O LUKS deixa um servidor mais lento?", "acceptedAnswer": { "@type": "Answer", "text": "Em qualquer CPU com aceleração de hardware AES-NI, na prática não. O AES-XTS roda a vários gigabytes por segundo por núcleo, o que está acima do que um único disco virtual entrega, então o custo prático é de alguns por cento de CPU sob I/O pesado e um pequeno aumento de latência. Rode cryptsetup benchmark na sua própria máquina para ver números reais. Sem AES-NI, a sobrecarga se torna significativa, e essa é a única situação em que vale a pena considerar uma cifra alternativa." } }, { "@type": "Question", "name": "O que acontece se eu perder a senha?", "acceptedAnswer": { "@type": "Answer", "text": "Os dados se perdem. Não há mecanismo de recuperação, nenhuma redefinição pelo lado do provedor e nenhuma porta dos fundos - essa é a propriedade que você estava comprando. Duas coisas reduzem o risco: o LUKS2 suporta múltiplos slots de chave, então adicione uma segunda senha longa ou um arquivo de chave guardado em outro lugar, e faça backup do cabeçalho do LUKS com cryptsetup luksHeaderBackup e guarde-o fora do servidor. Um cabeçalho danificado destrói o volume com a mesma eficácia que uma senha esquecida." } }, { "@type": "Question", "name": "A criptografia de disco é legal, e posso ser forçado a entregar a chave?", "acceptedAnswer": { "@type": "Answer", "text": "Usar criptografia de disco é legal em todas as sete jurisdições em que operamos, e é uma prática comum, não um ato suspeito. A divulgação compulsória é uma questão separada, e ela segue a pessoa, não o hardware: Reino Unido, França e Austrália estão entre os países cuja lei pode exigir que alguém apresente uma chave de decriptografia ou enfrente uma penalidade por se recusar. Isso é determinado por onde você está e qual tribunal tem alcance sobre você, e nenhuma configuração no servidor muda isso." } }, { "@type": "Question", "name": "A criptografia ajuda se o servidor for apreendido enquanto está em execução?", "acceptedAnswer": { "@type": "Answer", "text": "Não. Um servidor em execução tem o volume montado e a chave na memória, então qualquer pessoa com acesso lê o sistema de arquivos exatamente como você - e por essa razão o equipamento normalmente é levado ligado. A criptografia em repouso é proteção para um volume fechado. Se a perda repentina de custódia faz parte do seu modelo de ameaça, o que ajuda é manter menos coisas na máquina, guardar backups em outro lugar criptografados na origem, e escolher uma jurisdição em que o processo legal para alcançar a máquina seja lento e restrito." } }, { "@type": "Question", "name": "Um arquivo de contêiner LUKS é tão seguro quanto criptografar um dispositivo de bloco inteiro?", "acceptedAnswer": { "@type": "Answer", "text": "Criptograficamente, sim - o mesmo cabeçalho LUKS2, a mesma cifra e a mesma derivação de chave se aplicam de qualquer forma, e o contêiner se comporta como um dispositivo de bloco depois de aberto. Um disco separado é marginalmente mais organizado e evita fragmentação no sistema de arquivos do host, mas em um VPS de disco único o arquivo de contêiner é a abordagem padrão e não abre mão de nada que importe. O que muda a segurança não é o formato do contêiner, é onde a chave vive e quais dados você efetivamente coloca dentro dele." } } ] } ``` ```json { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Início", "item": "https://servhidden.com/pt/" }, { "@type": "ListItem", "position": 2, "name": "Guias de Hospedagem com Privacidade", "item": "https://servhidden.com/pt/guides" }, { "@type": "ListItem", "position": 3, "name": "Criptografia de Disco Completo em um VPS: LUKS e o Que Ela Protege", "item": "https://servhidden.com/pt/guides/full-disk-encryption-on-a-vps" } ] } ``` ```json { "@context": "https://schema.org", "@type": "HowTo", "name": "Criptografia de Disco Completo em um VPS", "description": "Como criptografar um VPS com LUKS: volumes de dados, raiz completa com desbloqueio via SSH, as configurações que importam em um servidor pequeno, e o que a criptografia de disco realmente impede.", "image": "https://servhidden.com/assets/img/guides/full-disk-encryption-on-a-vps.webp?v=1787136235", "inLanguage": "pt", "totalTime": "PT1H", "step": [ { "@type": "HowToStep", "position": 1, "name": "Contra o que a criptografia em repouso realmente protege", "text": "Criptografia em repouso significa que os bytes no meio de armazenamento são texto cifrado sempre que o volume está fechado. É uma afirmação estreita, e seu valor depende de uma única variável: onde a chave está no momento em que o adversário chega. SituaçãoO LUKS ajuda? Um disco é desativado, dev…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#contra-o-que-a-criptografia-em-repouso-realmente-protege" }, { "@type": "HowToStep", "position": 2, "name": "Por que um VPS não é um laptop", "text": "Em um laptop, o design é autoevidente. Você digita uma senha na inicialização, a chave existe apenas na RAM enquanto a máquina está ligada, e desligá-la encerra a história. Um servidor não tem ninguém no console. Algo precisa fornecer a chave a cada inicialização, e cada candidato a \"algo\" troca …", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#por-que-um-vps-não-é-um-laptop" }, { "@type": "HowToStep", "position": 3, "name": "Os três arranjos que valem a pena implantar", "text": "Não existe uma única configuração correta — existe aquela cujo modo de falha você consegue conviver. Estes três cobrem essencialmente todos os casos reais. ArranjoO que cobreCusto de uma reinicializaçãoRisco de bloqueio 1. Volume de dados criptografado, aberto manualmente após o bootOs dados que …", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#os-três-arranjos-que-valem-a-pena-implantar" }, { "@type": "HowToStep", "position": 4, "name": "Criptografando um volume de dados em um VPS em execução", "text": "Este é o arranjo a buscar primeiro. Nada é reinstalado, nada no processo de boot muda, e se você cometer um erro o pior resultado é um arquivo de contêiner que você descarta. Quinze minutos em um servidor Debian ou Ubuntu ativo. Instale as ferramentas. apt install cryptsetup. Se o seu plano veio …", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#criptografando-um-volume-de-dados-em-um-vps-em-execução" }, { "@type": "HowToStep", "position": 5, "name": "Criptografia completa da raiz com desbloqueio remoto via SSH", "text": "Quando o requisito é que nada legível sobreviva a uma apreensão com a máquina desligada — logs, histórico do shell, listas de pacotes, o formato do que você roda — o sistema de arquivos raiz também precisa estar dentro do contêiner. O problema passa a ser levar uma senha até uma máquina que ainda…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#criptografia-completa-da-raiz-com-desbloqueio-remoto-via-ssh" }, { "@type": "HowToStep", "position": 6, "name": "As duas configurações que importam, e a armadilha do VPS pequeno", "text": "Por padrão, o LUKS2 usa AES-XTS com chave de 512 bits e derivação de chave Argon2id. Ambos estão corretos. Ajustar a cifra manualmente é uma forma de ficar mais lento e mais fraco ao mesmo tempo, e a internet está cheia de linhas de comando copiadas que fazem exatamente isso. Duas coisas, porém, …", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#as-duas-configurações-que-importam-e-a-armadilha-do-vps-pequ" }, { "@type": "HowToStep", "position": 7, "name": "Swap, logs, snapshots — as partes que as pessoas esquecem", "text": "Um cofre criptografado com texto claro vazando ao redor dele é a falha mais comum de todas, e ela permanece invisível até alguém olhar. Swap. Qualquer coisa na memória pode ser paginada para o disco, incluindo material que você cuidadosamente colocou no cofre. Desative o swap, ou dê a ele uma cha…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#swap-logs-snapshots-as-partes-que-as-pessoas-esquecem" }, { "@type": "HowToStep", "position": 8, "name": "Onde a chave vive é todo o design", "text": "Cada arranjo acima é, na verdade, uma declaração sobre a custódia da chave. Existem quatro opções, e elas não são equivalentes: Na sua cabeça, digitada a cada boot. Proteção máxima, atrito operacional máximo. A máquina genuinamente não pode ser lida sem você. Em um arquivo na máquina criptografad…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#onde-a-chave-vive-é-todo-o-design" }, { "@type": "HowToStep", "position": 9, "name": "O que o seu provedor consegue ver, e onde a jurisdição assume o controle", "text": "Em um VPS, um hipervisor fica abaixo de você. Nós não lemos a memória do convidado, e não mantemos logs de tráfego, conexão ou DNS, nem rastro de console — mas essas são políticas, e a moldura honesta é que um VPS pede que você confie nelas. Em hardware dedicado não há hipervisor entre você e o s…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#o-que-o-seu-provedor-consegue-ver-e-onde-a-jurisdição-assume" }, { "@type": "HowToStep", "position": 10, "name": "Nove erros que transformam a criptografia em decoração", "text": "Desbloqueio automático a partir de um arquivo de chave no mesmo disco. A maioria dos servidores \"criptografados\", e o equivalente a deixar a chave na fechadura. Criptografar um volume que os dados sensíveis nunca alcançam. O cofre está vazio e o banco de dados não está nele. Nunca fazer backup do…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#nove-erros-que-transformam-a-criptografia-em-decoração" }, { "@type": "HowToStep", "position": 11, "name": "Então vale a pena fazer isso em um VPS?", "text": "Sim, com expectativas calibradas. Por uma hora de trabalho e sem custo operacional mensurável, um volume de dados criptografado elimina uma classe inteira de exposição que você não conseguiria resolver de outra forma, e a elimina permanentemente: hardware aposentado, armazenamento reatribuído, um…", "url": "https://servhidden.com/guides/full-disk-encryption-on-a-vps#então-vale-a-pena-fazer-isso-em-um-vps" } ] } ```