Proxmox
Proxmox Backup Server: crittografia e chiavi di recupero
Cifrare le copie protegge i dati anche sul server remoto, ma introduce una responsabilità decisiva: senza la chiave corretta il ripristino può diventare impossibile.
Trasporto protetto e backup cifrato sono due cose diverse
Quando un backup viene inviato a Proxmox Backup Server, la connessione utilizza TLS per proteggere il trasferimento. Questo non significa però che il contenuto sia automaticamente illeggibile sul server di destinazione. La documentazione ufficiale Proxmox, nella versione 4.2.8-1 datata 2 ottobre 2026, precisa che la crittografia lato client è supportata ma non è attiva per impostazione predefinita. Con questa funzione i dati vengono cifrati prima di raggiungere il server. La distinzione è importante quando le copie sono conservate in un’altra sede, presso un fornitore o su un’infrastruttura amministrata da soggetti diversi.
La chiave diventa parte del piano di continuità
Proxmox Backup utilizza per il client una chiave di cifratura simmetrica e documenta AES-256 in modalità GCM. Il file della chiave può essere protetto da password. Server, credenziali e chiave svolgono ruoli distinti: conoscere la password dell’account permette di accedere al repository, ma non sostituisce la chiave necessaria a leggere un archivio cifrato. Se la chiave viene persa e non esiste un metodo di recupero valido, le copie possono risultare inutilizzabili. La protezione aggiuntiva deve quindi essere accompagnata da una procedura concreta di custodia, duplicazione controllata e verifica.
Dove conservare il materiale di recupero
Tenere l’unica copia della chiave sullo stesso host che produce i backup crea una dipendenza pericolosa: un guasto, una cancellazione o un attacco potrebbero coinvolgere sia i sistemi sia il mezzo per recuperarli. È più prudente predisporre almeno una copia protetta e separata, con accessi limitati e responsabilità assegnate. La documentazione Proxmox consente anche di creare una coppia master pubblica e privata: la parte pubblica permette di allegare al backup una versione cifrata della chiave simmetrica, mentre la chiave master privata serve per il recupero. Proprio per questo la parte privata richiede una custodia particolarmente rigorosa.
Un esempio per una piccola infrastruttura
Immaginiamo un’azienda che protegga quattro macchine virtuali su un Proxmox Backup Server collocato in una seconda sede. L’amministratore abilita la cifratura lato client, registra quale chiave appartiene ai relativi gruppi di backup e conserva due copie controllate del materiale di recupero in luoghi separati. La procedura indica chi può accedervi, come verificare l’identità del richiedente e che cosa fare in caso di sostituzione del personale. In un ambiente isolato viene poi eseguito un ripristino di prova usando una copia della chiave. È uno scenario organizzativo ipotetico, non un’attività dichiarata di System & Software.
La verifica dei dati non verifica tutta la procedura
Proxmox Backup Server usa checksum SHA-256 e offre attività di verifica per controllare che i file continuino a corrispondere ai valori registrati. È un controllo importante contro corruzione e degrado dello storage, ma non dimostra da solo che l’azienda possieda ancora la chiave corretta, ricordi la relativa password o sappia ricostruire l’applicazione. Un esito positivo della verifica tecnica deve quindi essere affiancato a prove periodiche di ripristino. La prova dovrebbe documentare tempi, persone coinvolte, dipendenze e risultato, senza utilizzare l’ambiente di produzione come laboratorio.
Cambiare chiave richiede tracciabilità
Nel tempo possono cambiare responsabili, procedure o requisiti di sicurezza. Prima di sostituire una chiave bisogna sapere quali backup dipendono da quella precedente e per quanto tempo devono restare recuperabili. Eliminare troppo presto il vecchio materiale può rendere inutili le versioni ancora comprese nella conservazione. Conviene mantenere un inventario essenziale: identificativo della chiave, sistemi coperti, data di introduzione, custodi autorizzati e prove eseguite. L’inventario non deve contenere la chiave in chiaro. Anche password, copie offline e chiave master privata devono seguire regole di accesso e revisione coerenti.
I limiti della crittografia
La cifratura protegge la riservatezza, ma non impedisce a un account compromesso di cancellare backup, non sostituisce una destinazione separata e non corregge una conservazione troppo breve. Non protegge inoltre i dati mentre sono in uso sulla macchina sorgente. Servono quindi autorizzazioni minime, autenticazione robusta, aggiornamenti, notifiche, verifiche e copie collocate in domini di rischio differenti. Anche la chiave più sicura è inutile se nessuno sa reperirla durante un’emergenza; al contrario, una chiave accessibile a troppe persone riduce la protezione. L’obiettivo è equilibrare segretezza e recuperabilità, provando entrambe prima che si verifichi un incidente.
Fonti e riferimenti
Fonti consultate il 29/10/2026.