Een applicatie moet honderden videobestanden binnen de applicatie versleutelen voordat ze worden opgeslagen, waarbij een unieke sleutel per video wordt gebruikt. Hoe moet de ontwikkelaar versleuteling in de applicatie implementeren?

De correcte aanpak is om KMS GenerateDataKey aan te roepen. Deze API retourneert een unieke, plaintext datasleutel en een versleutelde versie van die sleutel. De applicatie gebruikt de plaintext datasleutel om de videobestanden lokaal te versleutelen en gooit deze vervolgens weg. De versleutelde datasleutel wordt samen met de versleutelde video opgeslagen. Dit is efficiënt voor grote hoeveelheden data, omdat de dataversleuteling lokaal plaatsvindt, wat de latency en kosten van API-aanroepen naar KMS vermindert. De optie om de KMS Encrypt API direct te gebruiken is inefficiënt voor grote bestanden, omdat de hele video over de netwerkverbinding naar KMS moet worden gestuurd voor versleuteling, wat traag en duur is. Het genereren van een sleutel met een cryptografiebibliotheek binnen de applicatie is onveilig, omdat het sleutelbeheer dan volledig bij de applicatie ligt en niet profiteert van de beveiliging en auditing van KMS. Server-side encryptie met S3 is een goede optie voor opslag, maar de vraag is hoe de applicatie de bestanden voor opslag versleutelt, wat duidt op client-side encryptie.