为分页安全加密 DynamoDB LastEvaluatedKey

Question

我正致力于根据 DynamoDB 的最后评估密钥生成用于分页的安全下一个令牌，以防止注入攻击以及将我的主密钥暴露给恶意用户。

目前，我正在对我最后评估的密钥进行基本编码以使我的项目滚动，但这种方法不切实际并且会暴露来自恶意用户的风险。我已经研究过使用 AES 来加密和解密我最后评估的密钥，但我不确定这是否是正确的方法。

我正在寻找其他人对创建安全分页令牌的最佳实践有更多经验的反馈。此外，我正在为我的数据库使用单表设计，因此我对 base64 下一代令牌的改进将全部切换到安全设计以降低风险。

Answer 1

这最终取决于您自己的喜好。我以前看到的是有人用他们的 KMS 密钥加密 LEK 返回给客户端。

https://docs.aws.amazon.com/kms/latest/APIReference/API_Encrypt.html

我还看到用户根本不将 LEK 暴露给客户端，而是将其短期缓存在服务器端。