S3 GUI客户端工具可以窃取我们的AWS密钥吗？

Question

我目前很好奇，在使用诸如S3Browser或Cyber​​duck的S3 GUI客户端工具使用AWS密钥浏览我们的S3文件时是否存在任何风险。

https://s3browser.com/

https://cyberduck.io/

工具会不会盗用那些aws键？

Answer 1

这两个服务都将密钥本地存储在您的主机上。

根据经验，我知道S3浏览器允许使用您选择的密码作为解密密钥在磁盘上对本地凭据进行加密。

很明显，不用说，但是在使用任何服务时，请确保以下内容提高安全性：

• 定期轮换您的凭据。
• 您的IAM策略应锁定为您所需的最低设置。
• 如果您担心在CloudTrail中启用了API调用的S3 API调用
• 如果它是1次密钥，请随后立即从软件和您的AWS账户中将其删除。

S3浏览器还支持assuming of a role，该浏览器可以生成临时凭据。