Исследователи из компании Aikido обнаружили, что ключи Google API*, удаленные пользователями, могут оставаться активными и функциональными в течение 8–23 минут после их удаления. Это создает значительную угрозу безопасности, поскольку злоумышленники могут использовать эти «удаленные» ключи для несанкционированного доступа к данным. Наибольшую уязвимость демонстрируют проекты, в которых задействована технология Gemini*.
Содержание
Суть проблемы
Если пользователи ожидают, что после удаления ключ Google API* немедленно перестанет работать, реальность может их удивить. Эксперты Aikido выяснили, что аутентификация с помощью удаленного ключа может быть успешной до 23 минут после официального удаления. Эта задержка в отзыве доступа представляет серьезный риск, позволяя потенциальным киберпреступникам получить доступ к системе. При этом пользователи практически лишены возможности узнать точное время деактивации ключа или ускорить этот процесс.
Методика исследования
В своем отчете специалисты Aikido подробно описали проведенные испытания. В течение двух дней было проведено десять серий экспериментов, в ходе которых создавались и удалялись ключи API*. Параллельно с этим каждые несколько секунд отправлялось от 3 до 5 аутентифицированных запросов, чтобы измерить фактическое окно отзыва доступа.
Результаты и уязвимости
Результаты исследования оказались непоследовательными: самый длительный период активности удаленного ключа составил 23 минуты, а самый короткий — 8 минут. В Aikido также отметили непредсказуемость успешности запросов: в одном из экспериментов 79% запросов были успешными даже спустя минуту после удаления, тогда как в другом — всего 5%. Ситуация усугубляется для проектов, использующих технологию Gemini*. В таких случаях злоумышленники могут с относительной легкостью похищать загруженные файлы и перехватывать кэшированные разговоры, используя ключ, который, казалось бы, уже удален.
В отчете выражается критика в адрес Google* за вводящий в заблуждение пользовательский интерфейс. Сообщение, которое видят пользователи после удаления ключа — «После удаления ключ больше не может использоваться для выполнения запросов API*» — было названо «очевидно ложным» со стороны Aikido. Как подчеркивают эксперты, у пользователя нет никакой возможности узнать, активен ли ключ, ускорить его отзыв или подтвердить полное прекращение работы.
Реакция Google* и рекомендации
В ответ на сообщение Aikido, компания Google* закрыла отчет, отказавшись вносить какие-либо исправления. Позиция команды разработчиков Google* заключается в том, что задержка распространения изменений (propagation delay) является известным свойством системы и не рассматривается как уязвимость в безопасности.
Несмотря на отсутствие официального исправления или обходного пути, Aikido предлагает меры по снижению рисков. Рекомендуется рассматривать удаление ключа как операцию, занимающую около 30 минут. В течение этого времени пользователям следует внимательно отслеживать раздел «Включенные API* и сервисы» в консоли Google Cloud Platform (GCP*) на предмет любых неожиданных запросов, исходящих от удаленного учетного данных.
* — деятельность компании запрещена на территории РФ
