Volume root cifrato con LUKS
passphrase in mano al cliente, crittografia LUKS2 e sblocco via ISO rescue dopo il riavvio su un server NoctisNode.
La cifratura totale protegge i dati a riposo da accesso fisico e riuso dei dischi. Su NoctisNode la passphrase la tieni tu — non possiamo decifrare i tuoi dischi e non conserviamo mai chiavi.
Scegli il momento giusto
Cifrare un root live si può ma è faticoso; la strada pulita è reinstallare subito con LUKS. Avvia la ISO rescue, partiziona con un piccolo /boot non cifrato e un contenitore LUKS2 per tutto il resto, poi debootstrap o ripristina la tua immagine dentro.
Comandi essenziali
Usa derivazione argon2id e una passphrase lunga. Aggiungi le voci a /etc/crypttab perché l'initramfs chieda la passphrase al boot.
cryptsetup luksFormat --type luks2 --pbkdf argon2id /dev/sda2
cryptsetup luksOpen /dev/sda2 root
mkfs.ext4 /dev/mapper/rootSopravvivere ai riavvii
- ▹Con accesso console via IPMI (dedicati) o VNC (VPS), digita la passphrase al boot.
- ▹Se serve un reboot non presidiato, valuta unlock remoto SSH nell'initramfs (dropbear) — solo chiave, vincolato alla rete console.
- ▹Prova il percorso di reboot prima di dipendervi: riavvia una volta in finestra di manutenzione.