Um aplicativo busca dados confidenciais de um sistema de terceiros e os formata em um PDF com mais de 1 MB. O desenvolvedor criptografará o arquivo em disco usando uma chave KMS simétrica gerenciada pelo cliente e, posteriormente, o descriptografará para download. Usando a API GenerateDataKey, qual abordagem permite criptografar corretamente o PDF para que ele possa ser descriptografado posteriormente?

A abordagem correta utiliza a API GenerateDataKey para obter uma chave de dados em texto simples e sua versão criptografada (ciphertext). A chave de texto simples é usada para criptografar o PDF localmente, pois o KMS tem um limite de 4KB para dados a serem criptografados diretamente. Após a criptografia do PDF, a chave de texto simples deve ser descartada da memória. A chave de dados criptografada (ciphertext) é então armazenada junto com o PDF criptografado. Para descriptografar, a chave de dados criptografada é enviada ao KMS via Decrypt API para obter a chave de texto simples, que então descriptografa o PDF. As opções incorretas: Salvar a chave de texto simples em disco é uma falha de segurança, pois ela estaria exposta. Usar a chave criptografada para criptografar o arquivo não é o propósito dela; ela serve para ser armazenada de forma segura. Chamar a API KMS Encrypt para criptografar o arquivo diretamente com a chave de texto simples não é viável para arquivos grandes como 1MB, devido ao limite de 4KB do KMS. Salvar a chave de texto simples em disco é uma falha de segurança. Chamar a API KMS Encrypt com a chave de dados criptografada não faz sentido, pois a chave criptografada não é usada para criptografia local.