AWS - S3 Persistence
S3
Für weitere Informationen siehe:
AWS - S3, Athena & Glacier EnumKMS Client-Seitige Verschlüsselung
Wenn der Verschlüsselungsprozess abgeschlossen ist, wird der Benutzer die KMS-API verwenden, um einen neuen Schlüssel zu generieren (aws kms generate-data-key
) und er wird den generierten verschlüsselten Schlüssel in den Metadaten der Datei speichern (python code example), sodass er beim Entschlüsseln diesen erneut mit KMS entschlüsseln kann:
Daher könnte ein Angreifer diesen Schlüssel aus den Metadaten abrufen und mit KMS entschlüsseln (aws kms decrypt
), um den Schlüssel zu erhalten, der zur Verschlüsselung der Informationen verwendet wurde. Auf diese Weise hat der Angreifer den Verschlüsselungsschlüssel und wenn dieser Schlüssel wiederverwendet wird, um andere Dateien zu verschlüsseln, kann er ihn verwenden.
Verwendung von S3 ACLs
Obwohl die ACLs von Buckets normalerweise deaktiviert sind, könnte ein Angreifer mit ausreichenden Berechtigungen diese missbrauchen (wenn sie aktiviert sind oder wenn der Angreifer sie aktivieren kann), um den Zugriff auf den S3-Bucket aufrechtzuerhalten.
Last updated