Nextcloud 서버 측 암호화를 활성화하고 영향 분석을 통해 효과를 확인하세요.

타사 스토리지에 파일이 저장되어 Nextcloud 서버 측 암호화(SSE)를 고려 중이라면, SSE가 위협 모델에 효과적인지 확인한 후에만 활성화하십시오. 성능 저하 없이 암호화를 보장하는 설정은 없습니다. 서버는 파일 내용을 암호화하고 복호화해야 하므로 전송 속도와 CPU 사용량이 변동될 수 있습니다. 대표 파일을 테스트하고, 필요한 스토리지에만 암호화를 활성화하고, 대량 변환 작업은 사용량이 적은 시간대에 예약하는 등의 방법으로 성능 저하를 최소화할 수 있습니다.

2026년 10월 10일 기준 최신 Nextcloud 35 관리 설명서에 따르면, 내장 서버 측 암호화(SSE)는 주로 외부 저장 장치에 저장된 파일을 보호하기 위한 기능입니다. 파일 이름이나 폴더 구조를 숨기지는 않으며, Nextcloud 서버 손상이나 악의적인 관리자로부터 파일을 보호하지도 않습니다. 로컬 디스크나 물리적 도난의 경우 운영 체제 디스크 암호화가 더 적합할 수 있으며, 서버 관리자가 데이터를 읽을 수 없도록 하려면 종단 간 암호화를 고려해야 합니다.

암호화를 활성화하기 전에

설정을 변경하기 전에 키 및 복구 계획을 세우십시오. Nextcloud 구성 및 암호화 키 데이터를 백업하고, 백업 파일이 접근 제어가 가능한 별도의 저장소에 보관되도록 하십시오. 키 자료는 데이터 디렉터리에 저장되므로, 암호화 키 또는 인스턴스 암호를 분실하면 암호화된 데이터를 복구할 수 없게 됩니다. 데이터베이스 복사본뿐 아니라 검증된 복구 절차를 보관하십시오.

또한 변경 전 기준선을 기록해 두십시오. 대표 파일의 업로드 및 다운로드 시간을 테스트하고, CPU 및 스토리지 사용량을 관찰하고, 사용자가 경험하는 지연 시간을 기록하십시오. 변경 사항을 적용한 후에도 동일한 테스트를 반복하십시오. 이렇게 하면 성능 향상에 대한 일반적인 주장 대신 하드웨어에서 변경 사항이 허용 가능한 수준인지 확인할 수 있습니다.

Nextcloud의 기본 암호화 모듈을 활성화합니다.

1. Nextcloud 관리자 계정으로 로그인한 다음 관리 설정에서 서버 측 암호화 섹션을 엽니다.
2. '서버 측 암호화 사용'을 선택하세요 . Nextcloud에서 암호화 모듈이 로드되지 않았다고 표시되면 앱 페이지를 열고 '기본 암호화 모듈'을 활성화한 다음 암호화 설정으로 돌아가세요.
3. 진행하기 전에 암호화 모드를 검토하십시오. 대부분의 배포 환경에서는 기본 마스터 키 모드를 권장하지만, 관리자는 파일을 복호화할 수 있습니다. 사용자 키 모드는 호환성 및 복구에 추가적인 제약이 있으며 성능 최적화에는 도움이 되지 않습니다.
4. 인터페이스의 지시에 따라 로그아웃 후 다시 로그인하여 암호화 키를 초기화하십시오. 명령줄에서 암호화 상태를 확인할 수도 있습니다.

sudo -E -u www-data php /var/www/nextcloud/occ encryption:status

예제 경로와 HTTP 사용자를 사용 중인 설치 환경에 맞게 변경하십시오. Nextcloud는 올바른 파일 권한을 유지하기 위해 OCC를 HTTP 사용자로 실행해야 합니다. Docker, AIO, Snap 또는 관리형 호스팅 환경에서는 이 호스트 명령을 그대로 복사하는 대신 해당 배포 환경에서 지원하는 셸과 사용자를 사용하십시오. 명령 실행에 대한 자세한 내용은 공식 OCC 가이드를 참조하십시오 .

암호화할 대상과 시기를 결정하세요

SSE가 활성화되면 새 파일과 변경된 파일이 암호화됩니다. 기존 파일은 설정이 켜졌다고 해서 자동으로 변환되지 않습니다. 기존 파일 라이브러리를 암호화해야 하는 경우 Nextcloud에서 제공하는 OCC 명령어를 사용할 수 있습니다.

sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-all

실행하기 전에 백업이 최신 상태인지 확인하고 유지 관리 기간을 예약하십시오. 이 작업은 모든 사용자의 파일을 처리하고 진행 상황을 표시하며, 대규모 인스턴스에서는 상당한 시간과 리소스를 소모할 수 있습니다. Nextcloud는 이 프로세스가 진행되는 동안 사용자가 파일에 접근하지 않도록 권장합니다. 사용량이 많은 시간대에는 실행하지 마시고, 이 작업을 무해한 토글 기능으로 간주하지 마십시오. 특정 외부 마운트에만 SSE가 필요한 경우, 서버 전체 변환을 불필요하게 시작하는 대신 해당 마운트의 암호화 옵션을 구성하십시오.

일부 데이터는 파일 내용 암호화 범위에서 제외됩니다. 현재 매뉴얼에는 SSE로 암호화되지 않는 항목으로 파일 이름 및 폴더 구조, 기존 휴지통 파일, 이전 파일 버전, 이미지 썸네일 및 미리보기, 전체 텍스트 검색 색인이 나열되어 있습니다. 외부 저장소에 암호화된 파일을 공유하려면 Nextcloud를 통해야 하며, 저장소 제공업체에서 직접 공유할 수 없습니다.

성과에 미치는 영향을 줄이고 측정합니다.

모든 데이터를 한 번에 암호화하는 대신 단계별 검사를 사용하세요.

• 암호화 옵션의 적용 범위를 확인할 수 있는 소규모 테스트 세트 또는 새로 장착한 외부 저장 장치 위치부터 시작하십시오.
• 유사한 부하 조건에서 업로드 및 다운로드 시간, CPU 사용량, 사용자가 체감하는 지연 시간을 기준선과 비교합니다.
• 암호화 작업은 서버에서 수행되므로 더 큰 파일과 동기화 클라이언트 업로드 및 다운로드와 같은 일반적인 워크플로에 대해 테스트를 반복하십시오.
• 측정된 영향이 허용 가능한 수준이고 핵심 백업 및 복구 프로세스가 검증된 경우에만 범위를 확장하십시오.

Nextcloud는 오버헤드가 전혀 없다고 보장하지 않으며, 실제 영향은 하드웨어, 파일 크기, 스토리지, 동시 접속자 수 및 워크로드에 따라 달라집니다. SSE(Short-Short Environment) 또한 저장 파일 크기를 약간 증가시킬 수 있습니다. 최신 버전의 매뉴얼에서는 약 1% 정도 증가한다고 명시하고 있으며, 이전 버전에서는 더 큰 오버헤드가 발생했습니다. 따라서 이전 버전의 성능 추정치가 현재 버전에 그대로 적용된다고 가정하지 마십시오.

결과를 검증하고 안전한 롤백 경로를 확보하십시오.

SSE를 활성화한 후 occ encryption:status중요하지 않은 파일을 사용하여 업로드, 다운로드, 공유 및 동기화 동작을 확인하고 테스트하십시오. 의도한 저장소의 데이터를 Nextcloud를 통해 읽을 수 있는지, 측정된 지연 시간이 허용 가능한 수준인지 확인하십시오. 기존 파일의 경우, 대량 작업이 완료될 때까지 암호화되었다고 가정하지 마십시오.

나중에 SSE를 비활성화하기로 결정한 경우, 암호화된 파일이 남아 있는 상태에서 앱이나 모듈을 단순히 끄지 마십시오. Nextcloud에서 공식적으로 안내하는 순서는 먼저 파일을 복호화한 다음 암호화를 비활성화하는 것입니다. 복호화 명령은 유지 관리 모드로 진입할 수 있으므로 백업이 완료된 상태에서 실행해야 합니다.

sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-all

암호화 설정을 변경하기 전에 작업 완료 여부와 파일 접근 권한을 확인하십시오. 측정된 오버헤드가 너무 높으면 암호화된 저장소 범위를 좁히거나 위협 모델에 맞는 저장소 계층 보호 방식을 선택하십시오. 암호화된 데이터가 존재하는 동안에는 키와 인스턴스 비밀 키를 백업해 두십시오.

공식 참조

• Nextcloud 35 서버 측 암호화: 설정, 제한 사항, 백업 및 OCC 명령어
• Nextcloud 서버 측 암호화 세부 정보 및 키 유형
• Nextcloud OCC 명령어 참조