Quando si utilizza l'AWS Encryption SDK, in che modo l'SDK tiene traccia della data encryption key (DEK) utilizzata per crittografare un oggetto dati?

Quando si utilizza l'AWS Encryption SDK, la data encryption key (DEK) non viene mai esposta in chiaro. Invece, l'SDK crittografa la DEK utilizzando una o più master key (CMK) e include queste DEK crittografate (chiamate "encrypted data keys" o "wrapped DEKs") come parte dei metadati del testo cifrato restituito. Questo meccanismo garantisce che la DEK sia sempre protetta e che il testo cifrato contenga tutte le informazioni necessarie per la decrittografia. Le altre opzioni sono errate perché: Lo sviluppatore non deve registrare manualmente la DEK; l'SDK gestisce questo processo automaticamente. L'SDK non salva automaticamente le DEK in Amazon S3; le DEK crittografate sono incorporate nel testo cifrato stesso. La DEK non viene archiviata nei dati utente dell'istanza EC2; questo non è il meccanismo standard di gestione delle chiavi dell'SDK.