Шифрованное хранилище в офшорной зоне

LUKS - Linux Unified Key Setup - стандартный механизм disk encryption в Linux. Шифрует весь диск или раздел через AES-XTS с ключом 256 или 512 бит. Ключ derived из вашего пароля через PBKDF2 или Argon2 KDF, что делает brute-force невозможным даже на мощных GPU. При boot системы LUKS спрашивает пароль для unlock - после этого данные доступны как обычный mount point. Anubiz Host даёт опцию LUKS encryption при ordered VPS - вы выбираете пароль, мы создаём LUKS volume для root partition. Доступ к unlock через initramfs SSH или через web-консоль провайдера. Производительность - на современных CPU с AES-NI overhead менее 5%. Шифрование прозрачное, не требует изменений в приложениях.

Если вам не нужно шифровать весь диск, а только определённые файлы или папки, удобнее veracrypt - наследник TrueCrypt. Создаёте файл-контейнер любого размера, который монтируется как block device после ввода пароля. Внутри - любая файловая система ext4, xfs, ntfs. Поддерживает hidden volume для plausible deniability - вы можете показать один пароль для outer volume, а реальные данные хранить в hidden volume с другим паролем. На офшорном VPS veracrypt полезен для разделения - публичный www-content в обычном /var/www, приватные данные в смонтированном veracrypt контейнере на /mnt/secret. После размонтирования контейнер выглядит как random data без структуры.

Cryfs и gocryptfs - FUSE-based решения, которые шифруют файлы прозрачно на уровне файловой системы. Каждый файл на диске - отдельный encrypted blob с уникальным IV, что упрощает синхронизацию через Dropbox-like сервисы. Gocryptfs быстрее и проще, но не скрывает структуру директорий. Cryfs скрывает всё, включая структуру и размеры файлов, но медленнее. Использование - mount /path/to/encrypted на /path/to/decrypted с паролем, после этого работаете с decrypted как с обычной папкой. Все changes автоматически шифруются перед записью. Удобно для облачных бэкапов - encrypted папка синхронизируется в Restic, Borg, Syncthing на офшорный VPS, ключ хранится только у вас, провайдер видит только зашифрованные blobs.