Приложение извлекает конфиденциальные данные из сторонней системы и форматирует их в PDF-файл размером более 1 МБ. Разработчик зашифрует файл на диске с помощью симметричного ключа KMS, управляемого клиентом, а затем расшифрует его для загрузки. Используя API GenerateDataKey, какой подход правильно позволяет зашифровать PDF-файл, чтобы его можно было расшифровать позже?

Правильный подход заключается в использовании открытого ключа данных (plaintext data key), возвращаемого GenerateDataKey, для локального шифрования PDF-файла с помощью симметричного алгоритма. Зашифрованный ключ данных (ciphertext data key) необходимо сохранить вместе с зашифрованным файлом. Это позволяет расшифровать файл позже: сначала вы используете KMS для расшифровки зашифрованного ключа данных, а затем используете полученный открытый ключ данных для расшифровки самого PDF-файла. Неправильные варианты: Сохранение открытого ключа данных на диск небезопасно, так как это делает его уязвимым для компрометации. Использование API KMS Encrypt для шифрования всего PDF-файла неэффективно и дорого, так как KMS имеет ограничения на размер данных, которые могут быть зашифрованы напрямую (обычно 4 КБ). GenerateDataKey предназначен для создания ключей для локального шифрования больших объемов данных.