Una aplicación obtiene datos confidenciales de un sistema de terceros y los formatea en un PDF de más de 1 MB. El desarrollador cifrará el archivo en el disco utilizando una clave simétrica administrada por el cliente de KMS y luego lo descifrará para su descarga. Usando la API GenerateDataKey, ¿qué enfoque permite cifrar correctamente el PDF para que pueda descifrarse más tarde?

La opción correcta describe el patrón de cifrado de sobres. GenerateDataKey devuelve una clave de datos en texto sin formato (plaintext) y una versión cifrada (ciphertext). La clave en texto sin formato se utiliza para cifrar el PDF localmente con un algoritmo simétrico rápido. La clave cifrada se almacena junto con el PDF. Para descifrar, se recupera la clave cifrada, se envía a KMS para descifrarla y obtener la clave en texto sin formato, que luego se usa para descifrar el PDF. Almacenar la clave cifrada permite que KMS la proteja, mientras que usar la clave en texto sin formato para el cifrado/descifrado local es eficiente. Las opciones incorrectas son: Almacenar la clave en texto sin formato en el disco compromete la seguridad. Intentar cifrar el archivo con la clave cifrada no es posible directamente. Usar la API KMS Encrypt para cifrar el archivo completo es ineficiente para archivos grandes (más de 4KB).