AWS - S3 Persistence
S3
詳細については以下を参照してください:
AWS - S3, Athena & Glacier EnumKMS Client-Side Encryption
暗号化プロセスが完了すると、ユーザーはKMS APIを使用して新しいキーを生成し (aws kms generate-data-key
)、生成された暗号化キーをファイルのメタデータ内に保存します (python code example)。これにより、復号化時に再びKMSを使用して復号化できます:
したがって、攻撃者はこのキーをメタデータから取得し、KMS (aws kms decrypt
) を使用して復号化し、情報を暗号化するために使用されたキーを取得することができます。この方法で攻撃者は暗号化キーを持ち、そのキーが他のファイルを暗号化するために再利用される場合、攻撃者はそれを使用することができます。
Using S3 ACLs
通常、バケットのACLは無効になっていますが、十分な権限を持つ攻撃者はそれを悪用することができます (有効になっている場合、または攻撃者が有効にできる場合) して、S3バケットへのアクセスを維持することができます。
Last updated