amazon-s3 - 如何在不解密的情况下下载加密的 s3 对象？

Question

我正在使用带有客户提供的加密 key (SSE-C) 的服务器端加密来存储一些文件。我想下载它们但还没有解密它们。用例类似于权力的游戏结局。我希望有线电视运营商拥有数据，但在最后一秒给他们 key 。但是当文件被加密时，解密头是强制性的。也许我可以切换文件已加密的标记？

Answer 1

对于此应用程序，您不会使用 SSE 的任何变体。

SSE 可防止您的内容以意外或故意破坏这些物理磁盘或其原始字节的形式存储在 S3 的内部磁盘上——无论这种情况不太可能——会将您的内容暴露给未经授权的人员。这就是所有 SSE 品种的根本目的。变体围绕如何管理 key 。

Server-side encryption is about data encryption at rest—that is, Amazon S3 encrypts your data at the object level as it writes it to disks in its data centers and decrypts it for you when you access it.

https://docs.aws.amazon.com/AmazonS3/latest/dev/serv-side-encryption.html

SSE 由 S3 解密，并在下载过程中使用 TLS 临时重新加密以在网络上传输。客户手中的最终结果是未加密的。

对于所描述的应用程序，您只需将加密内容上传到 S3，而 S3 不知道(外部的、已应用的)加密。

如果您还使用了某种 SSE，那将与您还将应用的外部加密无关。可以说，如果内容在上传之前已经加密，则 SSE 会有些多余。

事实上，在所描述的应用程序中，根据内容的敏感性和值(value)，每个接收者可能拥有不同的 key 和/或略有不同的源文件(因此是一个完全不同的加密文件)，因此泄漏的来源可能是通过识别哪个源变体受到威胁来识别。