如何防止服务器托管服务商访问我存储在主机上的机密数据？

我计划租用一台服务器部署web服务，尽管我信任所选的托管服务商，但仍希望确保无人能够访问我存储在该机器上的机密数据。

以下是我目前已经采取的安全加固措施：

• 托管服务商完成服务器初始化配置后，向我提供root密码
• 我通过ssh连接服务器

ssh root@xxx.xxx.xxx.xxx

• 更新系统全部软件包

sudo apt update
sudo apt upgrade

• 创建新用户，将其加入sudo用户组后切换至新用户登录

adduser adminuser
usermod -aG sudo adminuser
exit
ssh adminuser@xxx.xxx.xxx.xxx

• 禁止root账户通过ssh登录

sudo nano /etc/ssh/sshd_config
// PermitRootLogin no (将配置从yes改为no)

• 配置防火墙规则

sudo ufw default deny outgoing
sudo ufw default deny incoming

sudo ufw allow 22/tcp
sudo ufw allow 443/tcp
sudo ufw allow 80/tcp

sudo ufw enable

• 完全禁用root账户

sudo passwd -l root

我也了解还有开启2FA认证、安装Fail2Ban这类常规加固措施，请问还有哪些额外措施可以防范托管服务商访问我的文件？

补充防范措施参考 #

首先要明确：托管商本身拥有服务器物理控制权、远程管理卡（IPMI/IDRAC）权限、磁盘挂载权限，你做的系统层面账号禁用、SSH配置无法阻止他们直接访问磁盘数据，核心防护要从加密和最小化敏感留痕入手：

• 系统安装阶段就配置LUKS全盘加密，必须设置启动时手动输入解密密钥，不要用托管商提供的默认加密服务，密钥全程自己保管，绝不存储在服务器侧。
• 核心机密数据单独二次加密，比如数据库文件、接口密钥、用户隐私数据，用GPG或AES256独立加密，只有服务运行时才解密加载到内存，密钥不要写死在服务器配置文件中，可以每次服务启动时手动输入，或者存在你本地控制的密钥管理设备中，按需加密拉取。
• 不要使用托管商提供的快照、自动备份服务，所有业务备份你自己加密后传到个人控制的存储设备，不要留存在服务商的存储集群内。
• 把SSH登录彻底改成密钥验证，关闭密码登录功能，私钥只存在你本地设备，绝不上传到服务器任何目录。
• 直接禁用swap分区，或者给swap分区也做加密，避免内存中的敏感数据被交换到磁盘被抓取。
• 本地留存内核、SSH配置、开机启动项等核心系统文件的基准哈希值，每次登录服务器都做哈希比对，一旦发现数值变化说明系统可能被托管商侧篡改，直接下线服务器排查。
• 不要在服务器终端输入明文敏感信息，就算清空bash历史，托管商如果开启进程审计也能抓取日志，敏感信息通过加密管道或者临时环境变量传递。
• 关闭托管商提供的VNC、远程控制台功能，避免操作内容被直接截屏记录。

以上措施只能提高托管商获取数据的门槛，无法完全杜绝物理层面的攻击，极度敏感的数据不建议放在公有托管服务器上。

内容的提问来源于stack exchange，提问作者manidos