Ein Unternehmen betreibt eine Anwendung auf AWS, die sensible Archivdateien generiert. Das Unternehmen möchte die Datenspeicherung der Anwendung neu gestalten, sodass Dateien verschlüsselt werden, bevor sie an AWS gesendet werden, um sicherzustellen, dass keine Drittparteien vor der Verschlüsselung auf die Daten zugreifen können. Das Unternehmen hat bereits einen Amazon S3-Bucket erstellt. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung ist die clientseitige Verschlüsselung mit einem in AWS KMS gespeicherten Schlüssel. Dies stellt sicher, dass die Daten verschlüsselt werden, bevor sie AWS verlassen und in S3 gespeichert werden, was die Anforderung erfüllt, dass keine Drittparteien vor der Verschlüsselung auf die Daten zugreifen können. Die Anwendung übernimmt hierbei die Verschlüsselung. Die Option "clientseitige Verschlüsselung mit einem von Amazon S3 verwalteten Verschlüsselungsschlüssel" ist irreführend, da S3 keine clientseitige Verschlüsselung mit S3-verwalteten Schlüsseln anbietet; S3-verwaltete Schlüssel (SSE-S3) sind für serverseitige Verschlüsselung. Serverseitige Verschlüsselung (SSE-KMS oder SSE-S3) verschlüsselt die Daten erst, nachdem sie AWS erreicht haben, was die Anforderung, dass keine Drittparteien vor der Verschlüsselung auf die Daten zugreifen können, nicht erfüllt. Duale serverseitige Verschlüsselung ist keine Standardoption in S3.