Eine Anwendung speichert sensible Benutzerdaten und umfasst eine CloudFront-Distribution sowie mehrere Lambda-Funktionen, die Anfragen verarbeiten. Jede Anfrage enthält mehr als 20 Datenfelder; bestimmte Felder müssen verschlüsselt werden, und nur bestimmte Komponenten der Anwendung sollen sie entschlüsseln können. Welche Lösung erfüllt diese Anforderungen?

Die Aktivierung von CloudFront Field-Level Encryption ist die korrekte Lösung, da sie speziell dafür entwickelt wurde, sensible Datenfelder zu verschlüsseln, bevor sie den Ursprungsserver erreichen. Dies stellt sicher, dass nur bestimmte Anwendungskomponenten (die Zugriff auf den entsprechenden privaten Schlüssel haben) die Daten entschlüsseln können. Die Verwendung eines asymmetrischen AWS KMS-Schlüssels bietet die notwendige Schlüsselverwaltung und -sicherheit. Die Weiterleitung der notwendigen Felder an den Ursprung ist erforderlich, damit die Anwendung die verschlüsselten Daten verarbeiten kann. Die Option mit Lambda@Edge und asymmetrischer Verschlüsselung ist zwar technisch machbar, aber CloudFront Field-Level Encryption ist der dedizierte und effizientere Service für diesen Anwendungsfall. AWS WAF dient der Web Application Firewall und ist nicht für die Feldebenenverschlüsselung zuständig; selbstverwaltete Schlüssel erhöhen zudem den Verwaltungsaufwand. HTTPS und signierte URLs/Cookies schützen den Zugriff auf Dateien, aber nicht die Verschlüsselung spezifischer Datenfelder innerhalb einer Anfrage.