Use um modelo push.
push tem várias vantagens:
- Receber carga do servidor central (dependendo de quantos clientes ao mesmo tempo podem atingir o servidor)
- Nenhuma chave no servidor central - você pode manter a chave em uma caixa especialmente protegida que não pode ser acessada pela Web
- Você tem certeza de que o servidor de distribuição de chaves é o seu problema. É uma chave pública. Observe a parte pública do par de chaves. Além disso: distribuir essa chave irá torná-lo disponível em qualquer um dos outros servidores. Por que o servidor de distribuição tem muito mais probabilidade de ser atacado do que qualquer outro servidor?
Então, novamente:
Se eu entendi corretamente, você está ficando paranóico com alguém recebendo acesso à chave pública ?
É uma chave pública, a chave pública não dá ao invasor em potencial qualquer possibilidade de ler os dados depois de criptografados e enviados para o servidor (supondo que não erros no software de criptografia).
O vetor de ataque seria que alguém invadisse um dos dados de envio do servidor para fazer o armazenamento central e apenas o DoSes injetando grandes quantidades de dados inúteis gravando no disco até que ele esteja cheio.