AWS - S3 Persistence
S3
Para más información revisa:
AWS - S3, Athena & Glacier EnumKMS Client-Side Encryption
Cuando se completa el proceso de encriptación, el usuario utilizará la API de KMS para generar una nueva clave (aws kms generate-data-key
) y almacenará la clave encriptada generada dentro de los metadatos del archivo (ejemplo de código en python) para que cuando ocurra la desencriptación pueda desencriptarlo usando KMS nuevamente:
Por lo tanto, un atacante podría obtener esta clave de los metadatos y desencriptarla con KMS (aws kms decrypt
) para obtener la clave utilizada para encriptar la información. De esta manera, el atacante tendrá la clave de encriptación y si esa clave se reutiliza para encriptar otros archivos, podrá usarla.
Usando S3 ACLs
Aunque usualmente los ACLs de los buckets están deshabilitados, un atacante con suficientes privilegios podría abusar de ellos (si están habilitados o si el atacante puede habilitarlos) para mantener acceso al bucket de S3.
Last updated