S3 Encryption

Question 1

… - Это шифрование данных, хранимых на сервере

Answer 1

at rest encryption, Server Side Encryption SSE

Question 2

SSE разделяется на … типа, а именно: …

Answer 2

3, SSE-S3, SSE-KMS, SSE-C

Question 3

SSE для новых бакетов и объектов по-умолчанию - это …

Answer 3

SSE-S3

Question 4

Что с ключом при выборе SSE-S3? Какой заголовок нужно отправлять при загузке файла? Какое значение заголовка?

Answer 4

Ключ полностью managed by S3, мы его даже не видим., “x-amz-server-side-encryption”: “AES256”

Question 5

Что с ключом при выборе SSE-KMS? Какой заголовок нужно отправлять при загузке файла? Какое значение заголовка?

Answer 5

Мы создаём ключ в KMS и используем его., “x-amz-server-side-encryption”: “aws:kms”

Question 6

Какие есть SSE-KMS ограничения?

Answer 6

лимит (quota) на количество запросов в KMS-API при upload/download файлов. 5500, 10_000, 30_000 запросов в секунду (зависит от региона).

Question 7

Что если превзойти quota limit операций к KMS? Что можно с этим сделать?

Answer 7

throttling error, можно запросить увеличение в Service Quotas Console

Question 8

Что с ключом при выборе SSE-C?

Answer 8

Мы создали ключ и отдаём его AWS’у, чтобы тот зашифровал наши объекты. Чтобы прочитать такой объект, нужно снова иметь и отправить в AWS этот ключ.

Question 9

В SSE-C какой заголовок нужно отправлять при загузке файла? Какое значение заголовка?

Answer 9

x-amz-server-side-encryption-customer-algorithm, x-amz-server-side-encryption-customer-key, x-amz-server-side-encryption-customer-key-MD5

Question 10

Где хранится ключ при выборе SSE-C? Как его транспортировать?

Answer 10

У заказчика. AWS НЕ хранит наш ключ. Он только использует его для шифрования объекта. И потом выбрасывает. По HTTPS.

Question 11

В чём ограничение SSE-C?

Answer 11

SSE-C - в отличие от SSE-S3, SSE-KMS - можно делать только через AWS CLI. Через AWS Console - нет.

Question 12

Что с ключом при выборе Client Side Encryption?

Answer 12

Мы шифруем объект самостоятельно прежде, чем отправить его в S3. И дешифруем самостоятельно при чтении из S3. Т.е. мы полностью управляем encryption cycle’ом. AWS даже НЕ в курсе, что объект зашифрован.

Question 13

… - Это шифрование данных при передаче между клиентом и сервером

Answer 13

in flight, in transit, SSL/TLS

Question 14

Чтобы использовать in flight (in transit) шифрование, клиенты должны …

Answer 14

хранить TLS root сертификат, полученный от AWS

Question 15

Какие в S3 есть рекоммендации по использованию SSL? Какие принуждения?

Answer 15

рекоммендовано использовать HTTPS всегда. Но для SSE-C обязательно придётся использовать, т.к. мы передаём ключ в AWS при чтении/записи файлов.

Question 16

Как можно навязать шифрование in flight in transit?

Answer 16

сделать IAM Resource Based Policy, в которой будут effect Deny и condition Bool aws:secureTransport false

Question 17

Как можно навязать шифрование SSE?

Answer 17

сделать IAM Resource Based Policy, в которой будут effect Deny и condition по “s3:x-amz-server-side-encryption” заголовку

Question 18

Как можно навязать шифрование Client Side?

Answer 18

никак