Gebruikers van een nieuwe applicatie uploaden documenten naar Amazon S3 en de inhoud van de documenten mag niet toegankelijk zijn voor derden. Welk type encryptie voldoet aan deze vereiste?

SSE-S3 (Server-Side Encryption with S3-managed keys) is de meest geschikte en eenvoudigste optie voor deze vereiste. Het versleutelt objecten automatisch aan de serverzijde voordat ze worden opgeslagen in S3 en ontsleutelt ze wanneer ze worden gedownload. De sleutels worden volledig beheerd door AWS, wat de operationele overhead minimaliseert en zorgt voor een hoge mate van beveiliging zonder dat de gebruiker sleutels hoeft te beheren. Client-side encryptie met een raw RSA wrapping key op het apparaat van de gebruiker is complexer en brengt risico's met zich mee voor sleutelbeheer aan de clientzijde. SSE-KMS (Server-Side Encryption with KMS-managed keys) biedt meer controle over sleutels via AWS KMS, wat nuttig is voor compliance-eisen, maar is overkill voor de gestelde vraag die alleen algemene vertrouwelijkheid vereist. DSSE-KMS (Dual-layer Server-Side Encryption with KMS keys) biedt een extra beveiligingslaag, maar is eveneens complexer en niet noodzakelijk voor de basisvereiste van vertrouwelijkheid.