onionvps

Guide

Chiffrement complet du disque sur un VPS avec déverrouillage à distance

AvancéLecture de 30 minMis à jour 11 juin 2026
Réponse courte

LUKS2 avec un démon SSH dropbear dans l'initramfs vous permet de chiffrer le système de fichiers racine et de fournir la phrase de passe à distance à chaque démarrage. Le fournisseur ne détient jamais la clé, donc un disque éteint est un texte chiffré. Cela ne protège pas contre un hyperviseur compromis, et aucun fournisseur ne peut honnêtement prétendre le contraire.

01 Comprenez exactement ce que cela protège

Protects against: physical seizure of a powered-off disk, decommissioned hardware, a datacentre incident, a technician with physical access. Does not protect against: a compromised running hypervisor, or a compromise of the running instance. The key is in memory while the machine runs.

02 Installer sur une racine chiffrée

On the Bastion line this is preconfigured. On any other instance, boot the distribution installer through the out-of-band console and choose an encrypted LVM layout.

03 Ajouter dropbear à l'initramfs

This is what lets you supply the passphrase over SSH before the root filesystem is mounted.

apt install -y dropbear-initramfs cryptsetup-initramfs
echo 'DROPBEAR_OPTIONS="-p 2222 -s -j -k"' >> /etc/dropbear/initramfs/dropbear.conf
cat ~/.ssh/id_ed25519.pub > /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

04 Configurer le réseau de démarrage

The initramfs has no DHCP client by default; give it a static configuration matching your instance.

# /etc/initramfs-tools/initramfs.conf
IP=203.0.113.10::203.0.113.1:255.255.255.0::eth0:off

05 Déverrouiller après chaque redémarrage

Connect on the initramfs port and supply the passphrase. The boot then continues normally.

ssh -p 2222 [email protected]
# then: cryptroot-unlock

Questions fréquemment posées

Que se passe-t-il si le serveur redémarre pendant que je dors ?

Il attend à l'invite de déverrouillage. C'est le compromis : les redémarrages non surveillés sont impossibles, ce qui rend précisément la clé vraiment vôtre.

OnionVPS peut-il déverrouiller mon disque ?

Non. Nous ne détenons jamais la phrase de passe, et il n'y a aucun mécanisme de récupération. Si vous la perdez, les données sont perdues.