我正在使用服务器端加密和客户提供的加密密钥（SSE-C）来存储一些文件。我想下载它们，但暂时不解密。用例类似于《权力的游戏》大结局。我希望有线运营商拥有数据，但要在最后一秒给他们密钥。但是，在加密文件时，解密标头是必需的。也许我可以切换标记文件已加密？
答案 0 :(得分：0)
对于此应用程序，您不会使用SSE的任何变体。
SSE可以防止您的内容以某种形式存储在S3的内部磁盘上，这些形式会意外或故意破坏这些物理磁盘或其原始字节（无论多么不可能），从而会使您的内容暴露给未经授权的人员。从根本上讲，这是所有SSE品种的目的。变体围绕着密钥的管理方式。
服务器端加密与静态数据加密有关，也就是说，Amazon S3将对象级别的数据加密，因为它会将数据写入其数据中心的磁盘中，并在您访问数据时为您解密。
https://docs.aws.amazon.com/AmazonS3/latest/dev/serv-side-encryption.html
SSE由S3解密，并使用TLS暂时重新加密，以在下载期间在网络上传输。客户手中的最终结果是未加密的。
对于所描述的应用程序，您只需将加密的内容上载到S3，而S3不会意识到（外部的，已经应用的）加密。
如果您还使用了某种SSE，那将与您还将应用的外部加密无关。可以说，如果内容在上传之前已经被加密，那么SSE会有些多余。
实际上，在所描述的应用程序中，根据内容的敏感性和价值，每个接收者都可能具有不同的密钥和/或稍有不同的源文件（因此，基本是不同的加密文件），因此可以通过确定哪个来源的变种受到破坏来识别泄漏。