Une application récupère des données sensibles d'un système tiers et les formate en un fichier PDF de plus de 1 Mo. Le développeur chiffrera le fichier sur le disque à l'aide d'une clé KMS symétrique gérée par le client, puis le déchiffrera pour le téléchargement. En utilisant l'API GenerateDataKey, quelle approche permet de chiffrer correctement le PDF afin qu'il puisse être déchiffré ultérieurement ?

L'approche correcte consiste à utiliser la clé de données en texte clair pour chiffrer le fichier PDF localement, car les fichiers de plus de 1 Mo sont trop volumineux pour être chiffrés directement par KMS. La clé de données chiffrée doit être stockée avec le fichier chiffré. Lors du déchiffrement, la clé de données chiffrée est envoyée à KMS pour être déchiffrée, puis la clé de données en texte clair résultante est utilisée pour déchiffrer le fichier PDF. Les options incorrectes suggèrent de stocker la clé en texte clair sur le disque (ce qui est une faille de sécurité), d'utiliser la clé chiffrée pour le chiffrement local (ce qui est impossible sans déchiffrement préalable), ou d'appeler l'API KMS Encrypt pour chiffrer le fichier entier (ce qui est inefficace et dépasserait la limite de taille de 4 Ko de KMS pour le chiffrement direct de données).