python - 使用客户端加密的 AWS S3

Question

我想对上传到 S3 存储桶的数据实现客户端加密。然而，由于我只有加密方面的基础知识，所以我对我找到的解决这个问题的示例有点困惑。

对于 Java、.NET、Ruby、Go 等其他编程语言，AWS 开发工具包提供了客户端加密方法。我还找到了例子[1] [2]为 python 复制相同的行为。

但是，所有这些示例最终都使用 AWS KMS 服务来生成、存储和接收其加密 key ，这让我感到困惑。据我了解，您有两个一般选择:

• 您信任 AWS 或者您的数据不是很敏感:那么您可以使用 AWS 服务器端加密或根本不加密。

• 您的数据敏感和/或您不想信任 AWS: 在这种情况下，我必须在 AWS 以外的其他地方生成和管理 key (正确吗？)。或者是否有任何障碍阻止 AWS 读取您的加密数据(如果他们愿意)？

按照基本 AES 教程实现客户端加密是否有任何明显的缺点 [3]并上传加密数据？

Answer 1

key 管理(和轮换)是一个缺点。现在您必须安全地管理 key 。

客户端无法真正加密数据是另一个缺点。通过 AWS 托管加密，您可以设置拒绝非加密上传的策略。

您的加密客户端也可能存在漏洞。编写加密软件并不容易。