La regola antica resta vera: chi tocca fisicamente la macchina, prima o poi la possiede – boot da USB, dischi estratti, keylogger hardware, reset del BIOS. Le contromisure, in scala:
- cifratura dei dischi a riposo (LUKS, ZFS encryption, BitLocker): trasforma il furto del server in furto di ferraglia. Il nodo da progettare è lo sblocco al riavvio: passphrase manuale, TPM, o unlock remoto via SSH in initramfs
- il rack chiuso a chiave in un locale ad accesso limitato: banale, spesso assente; per l'homelab, almeno fuori dalla portata di ospiti e bambini
- BIOS/UEFI protetti (password, boot order bloccato, secure boot) e le console di gestione (IPMI/iLO – di fabbrica sono un buco: rete di management separata e credenziali cambiate)
- gli attacchi "evil maid" (manomissione breve e invisibile) si mitigano con sigilli e misura del boot – paranoia giustificata solo per bersagli veri
E il duale spesso dimenticato: la dismissione – i dischi che escono (garanzia, vendita, cassonetto) escono cifrati o distrutti, mai solo formattati.