La crittografia dell'intero disco è utile su un VPS?

L'implementazione corretta mantiene la passphrase fuori dalla macchina. La nostra linea Bastion utilizza LUKS2 con un demone SSH in initramfs: a ogni avvio ti connetti e fornisci la passphrase, e noi non la conserviamo mai. Ciò significa che un riavvio richiede te, che è il compromesso corretto per questo modello di minaccia.

Ciò contro cui protegge genuinamente: dischi dismessi, sequestro hardware, un incidente del datacenter e un ingegnere di supporto con accesso fisico. Ciò contro cui non protegge: un hypervisor compromesso o un compromesso dell'istanza in esecuzione stessa.