Как зашифровать диск VPS с помощью LUKS и разблокировать его удалённо

Шифрование VPS выглядит как команда в одну строку — cryptsetup luksFormat, готово — а затем незаметно не оправдывает то, что люди считали, будто покупают. На арендованной машине под вашим ядром работает гипервизор, поэтому модель угроз здесь не та, под которую изначально проектировалось полное шифрование диска. Это руководство — честная версия: от чего LUKS защищает на VPS, от чего нет, два рабочих пути развёртывания и как разблокировать зашифрованный корневой раздел по SSH, чтобы вы никогда не остались отрезаны от собственного сервера.

Что шифрование реально даёт на арендованном сервере

Полное шифрование диска защищает данные в состоянии покоя (data at rest). За этой фразой скрывается многое, и на VPS стоит чётко разобрать, какие моменты считаются «покоем», а какие нет — именно в этом разрыве рушится большинство ожиданий.

Выберите схему прежде, чем набирать команду

Четыре схемы покрывают почти любое реальное требование. Ошибка в выборе обойдётся переустановкой, поэтому решайте здесь, а не на середине пути.

Путь A — шифрование тома с данными на уже работающем сервере

Это вариант, который на самом деле нужен большинству: десять минут работы, без переустановки, и всё важное оказывается внутри контейнера. Сначала подключите второй том — на тарифе /storage это большой диск; на стандартном /vps его можно добавить прямо при развёртывании.

1. 1

   Определите целевое устройство

   Выполните lsblk и убедитесь, что форматировать вы собираетесь именно пустое устройство. luksFormat уничтожает всё, что на нём было, и отменить это нельзя.

2. 2

   Создайте контейнер LUKS2

   cryptsetup luksFormat --type luks2 /dev/vdb попросит ввести YES заглавными буквами, а затем задать парольную фразу. Выбирайте такую, которую сможете безошибочно набрать в консоли без истории ввода и без отображения символов.

3. 3

   Откройте контейнер и создайте файловую систему

   cryptsetup open /dev/vdb cryptdata создаёт /dev/mapper/cryptdata. Затем выполните mkfs.ext4 /dev/mapper/cryptdata и смонтируйте раздел туда, где будут жить данные, например в /srv/data.

4. 4

   Решите, как том будет разблокироваться при загрузке

   Либо вводите парольную фразу после каждой перезагрузки, либо добавьте файл ключа через cryptsetup luksAddKey и храните его на корневом разделе. Файл ключа удобен, но строго слабее — чётко понимайте, на какой компромисс идёте.

5. 5

   Пропишите crypttab и fstab

   Добавьте соответствие в /etc/crypttab, используя UUID=, а не имя устройства, затем смонтируйте раздел через /etc/fstab с флагом nofail, чтобы неудачная разблокировка никогда не подвешивала загрузку.

Путь B — зашифрованный корневой раздел с кастомного ISO

Если требование звучит так, что на выключенной машине не должно остаться ничего читаемого, сам корневой раздел должен находиться внутри LUKS. Это означает установку с нуля через консоль у провайдера, который позволяет загружаться с собственного ISO.

1. 1

   Загрузите установщик через консоль

   Подключите netinst ISO Debian или Ubuntu как кастомный ISO и ведите установку через VNC или serial. По SSH это не работает — подключаться пока не к чему.

2. 2

   Используйте автоматическую разметку с зашифрованным LVM

   Установщик оставляет небольшой /boot в открытом виде, потому что что-то должно запуститься до открытия тома, а корневой раздел и своп помещает внутрь одного контейнера LUKS.

3. 3

   Выберите парольную фразу, которую сможете набрать вслепую

   Вводить её придётся по SSH при каждой перезагрузке — без отображения символов и без автодополнения. Фраза из пяти слов здесь лучше, чем нагромождение символов.

4. 4

   Настройте удалённую разблокировку, прежде чем выходить из сессии

   Свежезашифрованный корневой раздел после следующей перезагрузки будет вечно стоять на запросе парольной фразы. Настройте удалённую разблокировку в той же сессии, пока консоль ещё перед вами.

Удалённая разблокировка по SSH с dropbear-initramfs

Зашифрованному корневому разделу нужна парольная фраза ещё до того, как операционная система вообще существует. dropbear-initramfs помещает крошечный SSH-сервер внутрь initramfs, чтобы вы могли ввести её откуда угодно — это и есть разница между зашифрованным сервером и зашифрованным кирпичом.

1. 1

   Установите пакет

   apt install dropbear-initramfs. Он встраивается в процесс генерации initramfs и автоматически пересобирается в каждый будущий образ ядра.

2. 2

   Авторизуйте ключ, и только одну команду

   Поместите публичный ключ в /etc/dropbear/initramfs/authorized_keys — на Debian 11 и старше это /etc/dropbear-initramfs/authorized_keys. Добавьте перед ним префикс no-port-forwarding,no-agent-forwarding,no-x11-forwarding,command="cryptroot-unlock", чтобы украденный ключ давал не больше, чем запрос пароля.

3. 3

   Дайте initramfs доступ к сети

   DHCP работает там, где его предоставляет провайдер; в остальных случаях добавьте статический параметр ip=ADDRESS::GATEWAY:NETMASK::eth0:off в GRUB_CMDLINE_LINUX и выполните update-grub. Завершите командой update-initramfs -u -k all, чтобы изменение попало в образ.

4. 4

   Проверьте полную перезагрузку, прежде чем полагаться на неё

   Перезагрузите сервер, держа консоль провайдера открытой в другом окне, подключитесь, введите парольную фразу и понаблюдайте, как продолжается загрузка. Непроверенный путь разблокировки — это не функция, а будущий простой.

Управление ключами — вот где шифрование диска обычно и подводит

Слабое место — не сам шифр, и никогда им не было. Любая устранимая катастрофа с участием LUKS сводится к ключу или заголовку, поэтому относитесь к обоим как к инфраструктуре.

• Сразу сделайте резервную копию заголовка — cryptsetup luksHeaderBackup /dev/vdb --header-backup-file luks-header.img — и храните её вне сервера. Заголовок, повреждённый одной неосторожной командой dd, означает безвозвратную потерю данных даже при абсолютно верной парольной фразе.
• Используйте два слота. LUKS2 даёт целых 32: в одном — ваша парольная фраза, в другом — длинный случайный ключ восстановления, хранящийся в менеджере паролей. Единственный слот — это добровольная единая точка отказа.
• На удалённой машине ротируйте ключи в правильном порядке — сначала добавьте новый через luksAddKey, убедитесь, что он открывает том, и только потом удаляйте старый через luksKillSlot. Никогда не наоборот.
• Храните парольную фразу и данные для подключения к серверу в разных местах. Одна скомпрометированная заметка не должна отдавать разом и адрес, и ключ.

Цена шифрования в производительности

Накладные расходы реальны, но обычно незаметны. Измеряйте их на той машине, что есть у вас, а не полагайтесь на бенчмарк из другой эпохи.

О чём обычно забывают

Зашифрованный том, вокруг которого по краям утекает открытый текст, — это ложное чувство защищённости, а оно хуже, чем полное его отсутствие. Закройте эти пять пунктов, прежде чем считать задачу выполненной.

• Своп. Незашифрованный раздел подкачки может хранить фрагменты чего угодно, что проходило через память. Шифруйте его новым случайным ключом при каждой загрузке через запись /dev/urandom в /etc/crypttab.
• Журналы, записанные до монтирования. Всё, что логируется, пока зашифрованный том ещё закрыт, попадает на открытый корневой раздел. Направьте журналы приложений и базы данных на путь внутри контейнера.
• Резервные копии. Копирование содержимого зашифрованного тома в объектное хранилище в открытом виде сводит на нет всю затею. Шифруйте резервную копию отдельно с помощью restic, borg или age и храните эти ключи в другом месте.
• Снапшоты. Снапшот провайдера захватывает диск, а не RAM, поэтому том LUKS внутри него остаётся шифротекстом — но всё, что осталось на незашифрованном корневом разделе, попадает туда в точности как есть.
• Discard. Передача флага discard через LUKS сохраняет работу trim на NVMe, но раскрывает, какие блоки не используются, — а значит, насколько заполнена файловая система и примерно как она устроена. Включайте этот флаг осознанно, а не копированием чужого конфига.

Где хостинг всё ещё имеет значение

Шифрование — это уровень, который контролируете вы: оно определяет, насколько дорого прочитать ваши данные после того, как машина выключена или диск покинул здание. Уровень вокруг него — кто может принудить к доступу к оборудованию и какие записи связывают сервер с вами — принадлежит провайдеру и его юрисдикции. Шесть из наших пятнадцати регионов — юрисдикции уровня повышенной приватности (privacy-tier); они перечислены на /locations, а что это реально меняет, объясняет /offshore-hosting.

Доступность самих описанных выше путей решают три возможности провайдера: загрузка с кастомного ISO, без которой Путь B невозможен в принципе; внеполосный доступ к консоли на случай перезагрузки, после которой удалённая разблокировка не возвращается; и регистрация, которая изначально не привязывала машину к вашей юридической личности. Каждый тариф /offshore-vps и /storage здесь загружается с кастомного ISO, включает доступ к консоли и списывается с предоплаченного крипто-баланса без KYC — так что зашифрованный диск не стоит поверх бумажного следа, уже называющего ваше имя. На /guides — честный разбор того, что хостинг может видеть, а чего нет.

Чек-лист развёртывания

• Сначала назовите угрозу: шифрование отвечает на списанные диски, отсоединённые тома и офлайн-образы — но не на работающий гипервизор.
• Шифруйте том с данными (Путь A), если сервер уже работает; переустанавливайте с кастомного ISO (Путь B), только если зашифрован должен быть сам корневой раздел.
• LUKS2 с aes-xts-plain64, и ограничивайте память Argon2id на любом тарифе с менее чем 2 ГБ RAM.
• Парольная фраза в одном слоте ключа, длинный случайный ключ восстановления в другом, оба хранятся вне сервера.
• Сделайте резервную копию заголовка LUKS, прежде чем записать первый байт реальных данных.
• dropbear-initramfs на нестандартном порту, только по ключу, ограниченный командой cryptroot-unlock.
• Проверьте один полный цикл перезагрузки и разблокировки, держа консоль провайдера открытой рядом.
• Зашифрованные резервные копии вне сервера, плюс одна тренировка восстановления — непроверенная резервная копия — это лишь надежда, а не резервная копия.