AWS - S3 Persistence

Reading time: 2 minutes

S3

For more information check:

AWS - S3, Athena & Glacier Enum

KMS Client-Side Encryption

암호화 과정이 완료되면 사용자는 KMS API를 사용해 새 키(aws kms generate-data-key)를 생성하고, 생성된 암호화된 키를 파일의 메타데이터에 저장합니다 (python code example). 복호화 시에는 이 키를 다시 KMS로 복호화하여 사용합니다:

따라서 공격자는 메타데이터에서 이 키를 얻어 KMS(aws kms decrypt)로 복호화하여 정보 암호화에 사용된 키를 획득할 수 있습니다. 이렇게 획득한 키가 다른 파일을 암호화하는 데 재사용되었다면, 공격자는 그 키를 사용해 다른 파일들도 복호화할 수 있습니다.

Using S3 ACLs

일반적으로 버킷의 ACL은 비활성화되어 있지만, 충분한 권한을 가진 공격자는 ACL을 악용(활성화되어 있거나 공격자가 활성화할 수 있는 경우)하여 S3 버킷에 대한 접근 권한을 유지할 수 있습니다.