SSE-C

Принцип работы

• Пользователь передает ключ шифрования через HTTP-заголовки в запросах к Object Storage. Ключ не сохраняется в Object Storage и не передается по сети после завершения запроса. Ключ существует только в памяти сервера во время обработки запроса.

• Данные шифруются перед сохранением и расшифровываются при получении с использованием предоставленного ключа.

• Для проверки ключа в случае доступа к объекту используется хранимый SHA-256 HMAC ключа, использовавшийся при загрузке.

secret="32bytesOfTotallyRandomCharacters"
key=$(echo -n $secret | base64)
keymd5=$(echo -n $secret | openssl dgst -md5 -binary | base64)

Поддерживаемые операции

• CreateMultipartUpload

• UploadPart

• UploadPartCopy

• PutObject

• CopyObject

Заголовки для SSE-C

• x-amz-server-side-encryption-customer-algorithm — алгоритм шифрования (AES256).

• x-amz-server-side-encryption-customer-key— ключ шифрования в формате base64. AES256 поддерживает ключи длиной только 32 байта (256 бит). Эти 32 байта кодируются в base64 для дальнейшей передачи. Если размер ключа до кодирования в base64 превышает 32 байта, система выдаст ошибку 400.

• x-amz-server-side-encryption-customer-key-MD5 — MD5-хеш ключа в формате base64. Хэш должен быть посчитан до конвертации в base64.

Примеры запросов в AWS CLI

• Загрузка объекта с шифрованием:

  secret="32bytesOfTotallyRandomCharacters"
  key=$(echo -n $secret | base64)
  keymd5=$(echo -n $secret | openssl dgst -md5 -binary | base64)
  aws s3api put-object --endpoint-url https://s3.cloud.ru --bucket customer-bucket-name --key customer-object-key --body /Desktop/customer_object.html --sse-customer-algorithm AES256 --sse-customer-key $key --sse-customer-key-md5 $keymd5
  
  

• Выгрузка шифрованного объекта:

  aws s3api get-object -endpoint-url https://s3.cloud.ru --bucket customer-bucket-name --key customer-object-key --sse-customer-algorithm AES256 --sse-customer-key $key  --sse-customer-key-md5 $keymd5