Lorsque vous utilisez le SDK de chiffrement AWS, comment le SDK garde-t-il la trace de la clé de chiffrement de données (DEK) qui a été utilisée pour chiffrer un objet de données ?

Le SDK de chiffrement AWS utilise un processus appelé « chiffrement d'enveloppe ». Il génère une clé de chiffrement de données (DEK) unique pour chaque objet de données. Cette DEK est ensuite utilisée pour chiffrer l'objet de données. Pour garantir que la DEK peut être récupérée ultérieurement, le SDK chiffre la DEK elle-même à l'aide d'une clé de chiffrement de clé (KEK) gérée par AWS KMS ou un fournisseur de clés personnalisé. La DEK chiffrée est ensuite stockée avec le texte chiffré de l'objet de données. Cela permet au SDK de déchiffrer l'objet de données en utilisant la DEK chiffrée et la KEK appropriée. Les autres options sont incorrectes car : Le développeur n'a pas à gérer manuellement les DEK ; c'est le rôle du SDK. Le SDK ne stocke pas automatiquement les DEK dans Amazon S3 ; elles sont intégrées au texte chiffré. La DEK n'est pas stockée dans les données utilisateur d'une instance EC2, car cela limiterait sa portabilité et sa sécurité.