Ao usar o AWS Encryption SDK, como o SDK rastreia a chave de criptografia de dados (DEK) que foi usada para criptografar um objeto de dados?

O AWS Encryption SDK criptografa a Chave de Criptografia de Dados (DEK) usando uma ou mais chaves mestras de criptografia (CMKs) e, em seguida, inclui a DEK criptografada e os metadados da CMK como parte do texto cifrado. Isso garante que a DEK esteja sempre associada aos dados criptografados, permitindo que o SDK decifre os dados posteriormente, sem a necessidade de rastreamento manual. As outras opções estão incorretas porque: O rastreamento manual é propenso a erros e não é a forma como o SDK funciona. O SDK não salva DEKs automaticamente no Amazon S3; ele as incorpora ao texto cifrado. Armazenar a DEK nos dados do usuário da instância EC2 não é uma prática segura e não é como o SDK gerencia as chaves.