La cifratura a riposo (encryption at rest) protegge i dati quando il disco è fermo e sottratto: se rubano il server, estraggono un disco dal NAS, o non smaltisci correttamente un'unità dismessa, i dati sono un blob illeggibile senza la chiave – il furto del dispositivo diventa furto di ferraglia. Le tecnologie su Linux:
- LUKS (dm-crypt) – lo standard per la cifratura di interi dischi/partizioni: trasparente, forte, integrato ovunque. Il disco montato è in chiaro per il sistema; smontato/spento è cifrato
- ZFS Native Encryption – cifratura a livello di dataset dentro ZFS: puoi cifrare singoli dataset, mantenere deduplicazione/compressione, e replicare i dati ancora cifrati verso un backup remoto (che non vede mai il chiaro)
Il nodo di ogni cifratura at-rest è lo sblocco all'avvio: dove sta la chiave? Le opzioni – passphrase digitata a mano (sicuro, scomodo per i server headless), TPM (sblocco automatico legato all'integrità della macchina), o unlock remoto (SSH in initramfs: la macchina parte, tu inserisci la chiave da remoto). Ogni scelta è un compromesso tra automazione e sicurezza. Il limite da tenere a mente: at-rest protegge dal disco fermo – a sistema acceso e volume montato, i dati sono accessibili a chi controlla la macchina, e lì contano le altre difese. Complementare alla cifratura di file/volumi con VeraCrypt.