Eine Anwendung ruft sensible Daten von einem Drittsystem ab und formatiert sie in eine PDF-Datei, die größer als 1 MB ist. Der Entwickler wird die Datei auf der Festplatte mit einem symmetrischen, kundenverwalteten KMS-Schlüssel verschlüsseln und später zur Freigabe entschlüsseln. Welcher Ansatz ermöglicht unter Verwendung der GenerateDataKey API die korrekte Verschlüsselung der PDF-Datei, sodass sie später entschlüsselt werden kann?

Die GenerateDataKey-API von AWS KMS gibt sowohl einen Klartext-Datenschlüssel als auch eine verschlüsselte (Chiffretext-)Version dieses Schlüssels zurück. Um die Datei zu verschlüsseln, verwenden Sie den Klartext-Datenschlüssel mit einem symmetrischen Algorithmus. Dieser Klartextschlüssel sollte niemals gespeichert werden. Stattdessen speichern Sie den verschlüsselten Datenschlüssel zusammen mit der verschlüsselten Datei. Zur späteren Entschlüsselung rufen Sie den verschlüsselten Datenschlüssel ab und verwenden die KMS Decrypt-API, um ihn zu entschlüsseln und den ursprünglichen Klartext-Datenschlüssel wiederherzustellen. Dieser entschlüsselte Schlüssel wird dann verwendet, um die Datei zu entschlüsseln. Die anderen Optionen sind falsch, da sie entweder den Klartextschlüssel speichern (was ein Sicherheitsrisiko darstellt) oder versuchen, die KMS Encrypt-API direkt mit der gesamten Datei zu verwenden (was für große Dateien ineffizient oder unmöglich ist, da KMS eine Größenbeschränkung hat und für die Verschlüsselung von Datenschlüsseln und nicht von großen Datenmengen konzipiert ist).