TL;DR

以下の組み合わせのダウンロード可否を調査する機会があったのでまとめます。

結果だけ気になる人は結論へ飛んでください。

サーバーサイド暗号化

S3にはサーバーサイド暗号化(Server Side Encryption、SSE)という機能があります。
保存時に暗号化が行われ、取得時に復号されるので、利用者はあまり意識せずにオブジェクトを暗号化することができます。
公式ドキュメント

サーバーサイド暗号化には現在3つの暗号化の方法があります。

SSE-Cを利用するシーンは（個人的に）あまりないため、今回は「暗号化なし」「SSE-S3」「SSE-KMS」を対象に調査を行うことにします。

AWSが用意したS3用の暗号鍵を用いて暗号化を行います。
公式ドキュメント

ユーザーがAWS KMSで作成した鍵を用いて暗号化を行います。
公式ドキュメント

ユーザーが作成した鍵を用いて暗号化を行います。
オブジェクトをS3にアップロードする際とダウンロードする際に暗号鍵を指定します。
AWS上に暗号鍵をアップロードすることなく、手元で管理することが可能です。
公式ドキュメント

さて、S3上のオブジェクトをアプリケーションから取得する方法はいくつか存在します。

アプリケーション上でAWS SDKで取得に関しては、当然どのようなサーバーサイド暗号化であろうと取得可能なので、今回の調査では対象外とします。

Terraformでサクッと調査対象のS3バケットやCloudFrontなどを実装しました。

結果は以下のようになりました。

要件次第ですが、SSE-S3が無難かなと。