При использовании AWS Encryption SDK, как SDK отслеживает ключ шифрования данных (DEK), который использовался для шифрования объекта данных?

AWS Encryption SDK автоматически управляет ключами шифрования данных (DEK). Когда вы шифруете данные, SDK генерирует DEK, использует его для шифрования ваших данных, а затем шифрует сам DEK с помощью одного или нескольких ключей обёртывания (wrapping keys), таких как AWS KMS Customer Master Keys (CMKs). Зашифрованный DEK затем сохраняется вместе с зашифрованными данными в виде части возвращаемого шифротекста. Это позволяет SDK при расшифровке данных автоматически извлекать зашифрованный DEK, расшифровывать его с помощью соответствующего ключа обёртывания и использовать полученный DEK для расшифровки исходных данных. Ручное отслеживание DEK не требуется и непрактично. Хранение DEK в Amazon S3 или в пользовательских данных экземпляра EC2 не является частью стандартного процесса AWS Encryption SDK и создаёт дополнительные риски безопасности.