Al usar el AWS Encryption SDK, ¿cómo realiza el SDK el seguimiento de la clave de cifrado de datos (DEK) que se utilizó para cifrar un objeto de datos?

El AWS Encryption SDK cifra la clave de cifrado de datos (DEK) con una clave de envoltura (wrapping key) y luego incluye esta DEK cifrada en los metadatos del texto cifrado. Esto asegura que la DEK siempre viaje con los datos cifrados, lo que permite descifrarlos posteriormente sin necesidad de almacenar la DEK por separado o rastrearla manualmente. Las otras opciones son incorrectas porque el SDK automatiza este proceso para la seguridad y facilidad de uso. El desarrollador no necesita registrar manualmente las DEK, el SDK no las guarda en Amazon S3 por sí solo, y las DEK no se almacenan en los datos de usuario de una instancia EC2.