AWS S3 對象加密 + 可公開訪問？

Question

我已將一個對象上傳到 S3，並使其可公開訪問。 因此，任何擁有該對象鏈接的人都可以查看該對象。

現在我然后將加密模式更新為AES-256，當我再次訪問該鏈接時，我仍然可以看到該對象。 那么這種加密到底在做什么呢？ 它是否只是針對靜態數據，因此如果其他人擁有鏈接並通過瀏覽器檢索它，它認為可以嗎？

過程的哪些步驟實際上是解密對象？

Answer 1

您已選擇使用帶有 Amazon S3 托管加密密鑰的服務器端加密 (SSE-S3) 來保護數據。

這意味着 Amazon S3 管理加密/解密。 當文件寫入磁盤時，會為文件生成一個隨機加密密鑰。 該文件被加密並寫入磁盤。 然后使用由 S3 管理的另一個加密密鑰對加密密鑰進行加密。

當您稍后請求文件時，S3 會解密加密密鑰，使用它來解密文件，然后提供解密后的文件。

以上是靜態加密。 這意味着數據在寫入磁盤之前已加密。 如果有人要物理獲取存儲數據的磁盤，他們將無法訪問未加密的數據。

但是，當您從 Amazon S3 請求對象時，它會驗證您是否有權訪問該對象（它是可公開訪問的，因此您被允許）。 然后它解密對象並提供未加密的文件（但它通常會通過 HTTPS 完成此操作，因此它在 AWS 和您的瀏覽器之間進行了加密）。

如果您想自己管理加密過程，請查看使用服務器端加密和客戶提供的加密密鑰 (SSE-C) 保護數據。 這要求您在檢索對象時提供加密密鑰。