阿里云对象存储服务（OSS）在数据加密与存储方面提供了多种安全措施，确保用户数据在传输和静止状态下均能得到有效保护。以下是OSS在数据加密与存储方面的关键特性：
数据加密
服务器端加密（SSE）
SSE-S3：OSS使用AES-256加密算法在服务器端对用户上传的数据进行加密。加密过程在数据写入磁盘前完成，而在用户下载时自动解密。这种加密方式透明、易于使用，用户无需在客户端进行复杂的加密处理，只需在上传或下载请求中指定相应的加密选项。密钥由OSS系统管理，减轻了用户密钥管理的负担。
SSE-KMS：用户可以利用阿里云密钥管理服务（KMS）对服务器端加密进行更精细的控制。KMS托管用户指定的密钥，或者生成、轮换密钥。在这种模式下，OSS在加密和解密数据时调用KMS服务。用户可以定义密钥的访问策略，增强密钥的安全性和合规性。
客户端加密
SSE-C：客户端加密（SSE-C）允许用户在本地使用自己的密钥对数据进行加密，然后将加密后的数据和加密密钥一起上传到OSS。下载时，用户需提供相同的密钥以解密数据。在这种模式下，用户对密钥拥有完全控制权，但同时也承担了密钥管理和分发的责任。
CSE-KMS：类似地，客户端可以使用KMS生成的数据加密密钥对数据进行加密，然后将加密数据和密钥标识上传至OSS。下载时，客户端从KMS获取对应的密钥进行解密。虽然密钥管理仍由KMS负责，但加密过程发生在客户端，提供了额外的控制和隔离。
数据存储
加密存储
无论是采用服务器端还是客户端加密，加密后的数据在OSS中都是以加密形式存储在磁盘上的。这意味着即使物理介质被盗或数据中心出现安全漏洞，攻击者也无法直接读取存储的数据，除非他们能够获取到用于解密的密钥。
多重冗余
OSS通常采用多重冗余存储架构，如纠删码或跨多个地理位置的复制，以提高数据的可用性和容灾能力。即使部分硬件故障或数据中心发生问题，加密后的数据也能保持安全并可被恢复。
访问控制
除了加密之外，OSS还通过访问控制列表（ACLs）和 bucket 策略来管理对象的访问权限。用户可以设置细粒度的权限，控制谁可以读取、写入或删除存储的对象。此外，使用访问密钥（AccessKey ID和AccessKey Secret）进行身份验证，确保只有经过授权的请求才能访问存储资源。
安全传输
OSS支持基于SSL/TLS的HTTPS协议，确保数据在从客户端上传至OSS以及从OSS下载到客户端的过程中，始终以加密形式在网络中传输，防止数据在传输过程中被窃听或篡改。
综上所述，阿里云OSS在数据加密与存储方面提供了全方位的安全保障，包括多种加密方式（服务器端与客户端加密）、密钥管理服务支持、加密数据存储、冗余备份、严格访问控制以及安全传输协议，以满足不同用户对数据安全性和合规性的需求。
