Ein Unternehmen verwendet AWS Key Management Service (AWS KMS). Beim Versuch, ein verschlüsseltes Amazon Elastic Block Store (Amazon EBS)-Volume an eine Amazon EC2-Instance anzuhängen, schlägt der Anhang fehl. Das Unternehmen stellt fest, dass ein kundenverwalteter Schlüssel unbrauchbar geworden ist, weil sein importiertes Schlüsselmaterial gelöscht wurde. Die Daten auf dem EBS-Volume werden benötigt. Ein Sicherheitsingenieur muss eine Methode empfehlen, um den verschlüsselten Datenschlüssel des Volumes zu entschlüsseln und das Volume anzuhängen. Welche Lösung erfüllt diese Anforderungen?

Wenn das importierte Schlüsselmaterial eines KMS-Schlüssels gelöscht wird, wird der Schlüssel unbrauchbar, aber die Metadaten des KMS-Schlüssels bleiben erhalten. Um auf Daten zuzugreifen, die mit diesem Schlüssel verschlüsselt wurden, muss genau dasselbe Schlüsselmaterial, das ursprünglich importiert wurde, erneut in den vorhandenen KMS-Schlüssel importiert werden. KMS verwendet die Schlüssel-ID, um das Schlüsselmaterial zu identifizieren; ein neues Schlüsselmaterial würde nicht funktionieren, da es nicht mit dem ursprünglichen Schlüsselmaterial übereinstimmt, das zur Verschlüsselung des EBS-Volumes verwendet wurde. Das Wiederherstellen aus einem Snapshot ist keine Option, wenn der Snapshot ebenfalls mit diesem Schlüssel verschlüsselt wurde oder wenn kein geeigneter Snapshot verfügbar ist. Das Erstellen eines neuen KMS-Schlüssels würde ebenfalls nicht funktionieren, da der neue Schlüssel nicht den Datenschlüssel des EBS-Volumes entschlüsseln kann, der mit dem ursprünglichen, nun unbrauchbaren Schlüssel verschlüsselt wurde.