Belajar Borg Backup - Inisialisasi Repository

#Pendahuluan

Di episode 2 kita memahami arsitektur: repository, archive, dan chunker. Sekarang saatnya langkah nyata pertama — membuat repository. Keputusan yang kalian buat di sini (mode enkripsi) tidak bisa diganti tanpa migrasi, jadi pilih dengan pemahaman, bukan kebiasaan. Kita juga akan mengatur environment Borg dengan benar agar passphrase tidak bocor ke mana-mana.

#Inisialisasi Repository

#Perintah Dasar

Inisialisasi repo dengan repokey-blake2

borg init --encryption=repokey-blake2 /backup/borg

Borg akan meminta passphrase (ketik dua kali). Setelah sukses, /backup/borg berisi struktur repository: config, data/, dan README.

Kenapa repokey-blake2? Mode ini menyimpan key di dalam repository dengan hash BLAKE2b-256 yang lebih cepat dari SHA-256. Cukup aman untuk mayoritas workload, dan tidak menuntut kita mengelola file key terpisah.

#Pilih Mode Enkripsi

Tabel ini adalah keputusan terpenting di episode ini:

Mode enkripsi Borg

+-----------------+----------------------+----------------------+----------------------+
| Mode            | Key tersimpan di     | Enkripsi data        | Catatan              |
+-----------------+----------------------+----------------------+----------------------+
| repokey         | repository           | ya                   | key dilindungi       |
|                 |                      |                      | passphrase           |
+-----------------+----------------------+----------------------+----------------------+
| repokey-blake2  | repository           | ya                   | BLAKE2b, lebih cepat |
+-----------------+----------------------+----------------------+----------------------+
| keyfile         | file terpisah        | ya                   | harus backup key     |
+-----------------+----------------------+----------------------+----------------------+
| keyfile-blake2  | file terpisah        | ya                   | BLAKE2b              |
+-----------------+----------------------+----------------------+----------------------+
| authenticated   | -                    | tidak                | hanya verifikasi     |
+-----------------+----------------------+----------------------+----------------------+
| none            | -                    | tidak                | tanpa keamanan       |
+-----------------+----------------------+----------------------+----------------------+

repokey / repokey-blake2: key ada di repo, terenkripsi passphrase. Mudah dipakai; jika repo dicuri, penyerang masih butuh passphrase.
keyfile / keyfile-blake2: key di file terpisah (biasanya ~/.config/borg/keys/). Lebih aman terhadap pencurian repo, tetapi wajib membackup file key — kehilangan keyfile = kehilangan data.
authenticated: data tidak dienkripsi, hanya diverifikasi integritasnya. Cocok jika repository berada di penyimpanan yang sudah dienkripsi (misal ZFS encryption), karena menghindari overhead CPU enkripsi.
none: tanpa keamanan sama sekali. Hanya untuk percobaan di lingkungan terisolasi.

Important

Mode enkripsi tidak bisa diubah pada repository yang sudah ada. Satu-satunya cara berganti mode adalah membuat repository baru dan mengisi ulang. Jadi pilih sekarang — untuk produksi, repokey-blake2 atau keyfile-blake2 adalah pilihan yang sehat.

#Environment: BORG_REPO dan Passphrase

#Variabel BORG_REPO

Setiap perintah Borg bisa menerima path repo sebagai argumen, tetapi itu melelahkan dan rawan salah ketik. Gunakan environment variable:

Export BORG_REPO

export BORG_REPO=/backup/borg

Setelah itu, borg list saja sudah cukup — tanpa menulis path setiap kali.

#BORG_PASSPHRASE vs BORG_PASSCOMMAND

Borg membaca passphrase dari BORG_PASSPHRASE atau BORG_PASSCOMMAND. Aturan emasnya: jangan hardcode passphrase di script atau command line.

BORG_PASSPHRASE muncul di daftar process (terlihat lewat ps) dan tersimpan di shell history. Hindari untuk produksi.
BORG_PASSCOMMAND memanggil perintah yang menghasilkan passphrase — jauh lebih aman, dan bisa diintegrasikan dengan password manager atau systemd credentials.

Menggunakan BORG_PASSCOMMAND

export BORG_PASSCOMMAND='cat /root/.borg-passphrase'

Alternatif dengan pass

export BORG_PASSCOMMAND='pass show backup/borg'

Siapkan file passphrase dengan permission ketat:

Siapkan file passphrase

sudo install -o root -m 600 /dev/null /root/.borg-passphrase
# lalu isi passphrase lewat editor, simpan dengan mode 600

#Verifikasi Repository

Verifikasi repo baru

export BORG_REPO=/backup/borg
export BORG_PASSCOMMAND='cat /root/.borg-passphrase'
borg info

borg info tanpa path membaca repo dari BORG_REPO dan mencetak detail repository — tanda bahwa key dan passphrase cocok.

Warning

Lupa passphrase sama dengan kehilangan seluruh backup — tidak ada jalan pintas. Tulis di tempat aman, simpan salinan di password manager, dan (untuk mode keyfile) backup file key-nya. Kita bahas strategi lengkapnya di episode 7.

#Pitfall Umum

Memakai none untuk data penting: tanpa enkripsi, repository yang bocor = data yang bocor.
Passphrase di history: pernah mengetik passphrase sebagai argumen command line? Bersihkan history dan beralih ke BORG_PASSCOMMAND.
Mode enkripsi berbeda antar host: kalau dua host berbagi satu repo, keduanya harus memakai key yang sama. Untuk repo per host, selalu buat repo sendiri-sendiri (episode 14).

#Penutup

borg init --encryption=repokey-blake2 /backup/borg adalah langkah pertama yang aman.
Pahami perbedaan repokey, keyfile, dan authenticated sebelum memilih — mode tidak bisa diubah.
Gunakan BORG_REPO untuk menyederhanakan perintah.
Gunakan BORG_PASSCOMMAND, bukan BORG_PASSPHRASE, agar passphrase tidak bocor.
Simpan passphrase/keyfile di tempat aman sejak hari pertama.

Di episode 4 kita melakukan yang sebenarnya: backup pertama dengan borg create — menyimpan /home dan /etc, memakai --exclude dan --stats, serta belajar membaca output borg list dan borg info serta menamai archive dengan pola host-timestamp.