Un'applicazione recupera dati sensibili da un sistema di terze parti e li formatta in un PDF di dimensioni superiori a 1 MB. Lo sviluppatore crittograferà il file su disco utilizzando una chiave KMS simmetrica gestita dal cliente e in seguito lo decifrerà per il download. Utilizzando l'API GenerateDataKey, quale approccio consente correttamente di crittografare il PDF in modo che possa essere decifrato in seguito?

L'API GenerateDataKey restituisce due valori: una chiave di dati in testo normale e una versione crittografata della stessa chiave (ciphertext) sotto una KMS key. Per crittografare un file di grandi dimensioni come un PDF (1MB), si utilizza la chiave di dati in testo normale con un algoritmo di crittografia simmetrico (ad esempio, AES-256) per crittografare il file localmente. La chiave di dati in testo normale non deve essere memorizzata su disco, ma deve essere utilizzata immediatamente e poi eliminata dalla memoria. La chiave di dati crittografata (ciphertext) deve essere memorizzata insieme al file crittografato. Per decifrare il file in seguito, si recupera la chiave di dati crittografata e la si passa all'API Decrypt di KMS per ottenere la chiave di dati in testo normale, che viene poi utilizzata per decifrare il file. Le altre opzioni sono errate perché suggeriscono di memorizzare la chiave in testo normale su disco (un rischio per la sicurezza) o di usare la chiave crittografata per la crittografia locale, il che non è possibile. Chiamare l'API KMS Encrypt per un file di grandi dimensioni sarebbe inefficiente e costoso.