使用 AWS Encryption SDK 时，SDK 如何跟踪用于加密数据对象的数据加密密钥 (DEK)？

AWS Encryption SDK 的核心功能之一是其处理数据加密密钥 (DEK) 的方式。SDK 不会直接将 DEK 返回给用户，而是使用一个或多个密钥加密密钥 (KEK) 对 DEK 进行加密。然后，这些加密后的 DEK 会与加密后的数据一起作为密文的一部分存储。这种设计确保了 DEK 始终受到保护，并且只有拥有相应 KEK 访问权限的授权实体才能解密数据。 其他选项不正确： 开发人员手动记录 DEK 既不安全也不实用，违背了 SDK 自动化的目的。 SDK 不会自动将 DEK 保存到 Amazon S3；它将加密后的 DEK 作为密文的一部分。 将 DEK 存储在 EC2 实例的用户数据中是极不安全的做法，因为用户数据是明文的，并且在实例启动时可见。