Wanneer de AWS Encryption SDK wordt gebruikt, hoe houdt de SDK dan bij welke data encryption key (DEK) is gebruikt om een dataobject te versleutelen?

De AWS Encryption SDK versleutelt de data encryption key (DEK) met een key encryption key (KEK) en voegt deze versleutelde DEK toe aan de metadata van de ciphertext. Dit mechanisme zorgt ervoor dat de DEK altijd samen met de versleutelde data reist, waardoor de ontvanger de DEK kan ontsleutelen met de juiste KEK en vervolgens de data kan ontsleutelen. De andere opties zijn onjuist: Handmatig bijhouden is foutgevoelig en schaalt niet. Het automatisch opslaan van DEK's in Amazon S3 zou een beveiligingsrisico vormen, omdat de DEK's dan los van de versleutelde data opgeslagen zijn. Het opslaan van de DEK in user data van een EC2-instantie is geen algemene methode voor data-encryptie en is niet schaalbaar of veilig voor dit doel.