L'applicazione di un'azienda attualmente crittografa i file utilizzando una chiave di proprietà di AWS Key Management Service (AWS KMS). Il team di sicurezza desidera la flessibilità di passare a nuovo materiale chiave per tutti i file futuri ogni volta che si sospetta una potenziale compromissione della chiave. Un ingegnere della sicurezza deve implementare una soluzione che consenta modifiche della chiave su richiesta. Quale soluzione soddisfa questi requisiti?

La risposta corretta è creare un alias di chiave KMS e, in caso di sospetta compromissione, creare una nuova chiave KMS gestita dal cliente (CMK) e aggiornare l'alias per puntare a questa nuova CMK. Questo approccio consente di cambiare rapidamente il materiale della chiave sottostante senza modificare il codice dell'applicazione che fa riferimento all'alias. Le CMK offrono il controllo completo sulla gestione delle chiavi. Le opzioni che suggeriscono la rotazione della chiave sono errate perché la rotazione automatica di AWS KMS avviene annualmente e non può essere attivata su richiesta per le CMK. Inoltre, la rotazione automatica di AWS KMS non sostituisce il materiale della chiave per le CMK, ma genera nuovo materiale crittografico per la stessa chiave logica. L'opzione che suggerisce l'uso di chiavi gestite da AWS (AWS-managed keys) è errata perché queste chiavi sono gestite interamente da AWS e non offrono la flessibilità e il controllo richiesti dal team di sicurezza per la gestione su richiesta del materiale della chiave.