Backups protegidos por senha/criptografados no lado do cliente para upload no S3?

O fórum Discourse contém material sensível, mas gostaríamos de usar o recurso de backup do S3. Existe uma maneira (*) de criptografar o backup no lado do cliente (ou adicionar uma senha, etc.) antes de enviar o backup para o bucket S3? Ou o Discourse faz isso automaticamente usando uma senha de conta local do Discourse antes de fazer o upload para o S3?

A ideia é que os dados não sejam expostos a terceiros além do host atual.

(*) obviamente, além de usar backups locais e criptografá-los manualmente + fazer o upload desses