Den forsinkede tilbagekaldelse – en sårbarhed

Problemet opstår, fordi ændringer i legitimationsoplysninger ikke spredes øjeblikkeligt på tværs af Googles distribuerede infrastruktur. Når en nøgle slettes, håndhæves tilbagekaldelsen ikke samtidigt på alle servere, der håndterer API-autentificering. Nogle systemer afviser legitimationsoplysningen hurtigt, mens andre stadig accepterer den, indtil sletningsopdateringen når dem.

Aikido testede adfærden ved gentagne gange at sende autentificeringsanmodninger efter sletning af nyoprettede nøgler. I ti forsøg fortsatte vellykket autentificering, indtil tilbagekaldelsen var fuldt udbredt, hvilket gav det observerede 8–23 minutters vindue med en median på omkring 16 minutter.

Det betyder, at en nøgle, der ser slettet ud i Google Cloud-grænsefladen, kortvarigt stadig kan fungere på dele af platformen.

Hvorfor hullet skaber reel risiko

For organisationer, der reagerer på en lækket legitimationsoplysning, er øjeblikkelig tilbagekaldelse afgørende. Den forsinkelse, Aikido afdækkede, skaber en periode, hvor angribere kan fortsætte med at bruge nøglen, selv efter at forsvarere tror, den er deaktiveret.

Hvis en angriber har en kompromitteret nøgle i det vindue, kan de stadig:

• Få adgang til aktiverede API'er, der er knyttet til projektet
• Sende yderligere API-anmodninger
• Generere uventet cloud-brug eller faktureringsomkostninger

Forskerne bekræftede adfærden med nøgler konfigureret til Gemini og observerede den samme forsinkede tilbagekaldelse for nøgler tilsluttet andre Google Cloud API'er som BigQuery og Google Maps. Sårbarheden er knyttet til selve API-nøgletypen og ikke til en specifik tjeneste.

Googles svar på rapporten

Ifølge rapporter og Aikidos offentliggørelse behandlede Google oprindeligt adfærden som en forventet formidlingsforsinkelse i et distribueret system snarere end en kritisk sikkerhedsfejl. Nogle kilder siger, at sagen først blev afsluttet som "won't fix."

Efter yderligere gennemgang blev rapporten senere genåbnet og internt klassificeret som en P0-fejl, hvilket indikerer høj prioritet for undersøgelse.

Den underliggende tekniske årsag – at tilbagekaldelsesopdateringer gradvist spredes på tværs af infrastrukturen – betyder, at præcis timing for tilbagekaldelse kan variere afhængigt af hvilke backendsystemer, der behandler en anmodning.

Praktiske forholdsregler for udviklere og sikkerhedsteams

Indtil tilbagekaldelsesadfærden garanteres at være øjeblikkelig, bør sikkerhedsteams antage, at sletning af en API-nøgle ikke straks blokerer al adgang.

Anbefalede forholdsregler inkluderer:

Betragt sletning som et forsinket begrænsningstrin
Planlæg for et midlertidigt risikovindue – cirka op til 30 minutter – hvor en kompromitteret nøgle stadig kan virke.

Overvåg logs og fakturering efter tilbagekaldelse
Uventede API-kald eller pludselige brugsspidser kort efter sletning kan indikere fortsat misbrug i formidlingsvinduet.

Begræns API-nøgler så vidt muligt
Google anbefaler at anvende begrænsninger såsom tilladte henvisere, IP-adresser eller specifikke API'er, så en lækket nøgle har begrænset nytte.

Roter og udskift legitimationsoplysninger
I stedet for udelukkende at stole på sletning, roter nøgler og opdater tjenester til at bruge nyoprettede legitimationsoplysninger så hurtigt som muligt.

Den bredere lektion for cloud-sikkerhed

Opdagelsen fremhæver en vigtig operationel realitet i store distribuerede systemer: konfigurationsændringer, herunder tilbagekaldelse af legitimationsoplysninger, spredes ofte gradvist snarere end øjeblikkeligt.

For udviklere og sikkerhedsteams er takeawayen ligetil – "slettet" betyder ikke altid "inaktiv med det samme." Forsvarsmanualer bør tage højde for korte formidlingsforsinkelser, når følsomme legitimationsoplysninger tilbagekaldes.

Den forsinkede tilbagekaldelse – en sårbarhed

Problemet opstår, fordi ændringer i legitimationsoplysninger ikke spredes øjeblikkeligt på tværs af Googles distribuerede infrastruktur. Når en nøgle slettes, håndhæves tilbagekaldelsen ikke samtidigt på alle servere, der håndterer API-autentificering. Nogle systemer afviser legitimationsoplysningen hurtigt, mens andre stadig accepterer den, indtil sletningsopdateringen når dem.

Aikido testede adfærden ved gentagne gange at sende autentificeringsanmodninger efter sletning af nyoprettede nøgler. I ti forsøg fortsatte vellykket autentificering, indtil tilbagekaldelsen var fuldt udbredt, hvilket gav det observerede 8–23 minutters vindue med en median på omkring 16 minutter.

Det betyder, at en nøgle, der ser slettet ud i Google Cloud-grænsefladen, kortvarigt stadig kan fungere på dele af platformen.

Hvorfor hullet skaber reel risiko

For organisationer, der reagerer på en lækket legitimationsoplysning, er øjeblikkelig tilbagekaldelse afgørende. Den forsinkelse, Aikido afdækkede, skaber en periode, hvor angribere kan fortsætte med at bruge nøglen, selv efter at forsvarere tror, den er deaktiveret.

Hvis en angriber har en kompromitteret nøgle i det vindue, kan de stadig:

• Få adgang til aktiverede API'er, der er knyttet til projektet
• Sende yderligere API-anmodninger
• Generere uventet cloud-brug eller faktureringsomkostninger

Forskerne bekræftede adfærden med nøgler konfigureret til Gemini og observerede den samme forsinkede tilbagekaldelse for nøgler tilsluttet andre Google Cloud API'er som BigQuery og Google Maps. Sårbarheden er knyttet til selve API-nøgletypen og ikke til en specifik tjeneste.

Googles svar på rapporten

Ifølge rapporter og Aikidos offentliggørelse behandlede Google oprindeligt adfærden som en forventet formidlingsforsinkelse i et distribueret system snarere end en kritisk sikkerhedsfejl. Nogle kilder siger, at sagen først blev afsluttet som "won't fix."

Efter yderligere gennemgang blev rapporten senere genåbnet og internt klassificeret som en P0-fejl, hvilket indikerer høj prioritet for undersøgelse.

Den underliggende tekniske årsag – at tilbagekaldelsesopdateringer gradvist spredes på tværs af infrastrukturen – betyder, at præcis timing for tilbagekaldelse kan variere afhængigt af hvilke backendsystemer, der behandler en anmodning.

Praktiske forholdsregler for udviklere og sikkerhedsteams

Indtil tilbagekaldelsesadfærden garanteres at være øjeblikkelig, bør sikkerhedsteams antage, at sletning af en API-nøgle ikke straks blokerer al adgang.

Anbefalede forholdsregler inkluderer:

Betragt sletning som et forsinket begrænsningstrin
Planlæg for et midlertidigt risikovindue – cirka op til 30 minutter – hvor en kompromitteret nøgle stadig kan virke.

Overvåg logs og fakturering efter tilbagekaldelse
Uventede API-kald eller pludselige brugsspidser kort efter sletning kan indikere fortsat misbrug i formidlingsvinduet.

Begræns API-nøgler så vidt muligt
Google anbefaler at anvende begrænsninger såsom tilladte henvisere, IP-adresser eller specifikke API'er, så en lækket nøgle har begrænset nytte.

Roter og udskift legitimationsoplysninger
I stedet for udelukkende at stole på sletning, roter nøgler og opdater tjenester til at bruge nyoprettede legitimationsoplysninger så hurtigt som muligt.

Den bredere lektion for cloud-sikkerhed

Opdagelsen fremhæver en vigtig operationel realitet i store distribuerede systemer: konfigurationsændringer, herunder tilbagekaldelse af legitimationsoplysninger, spredes ofte gradvist snarere end øjeblikkeligt.

For udviklere og sikkerhedsteams er takeawayen ligetil – "slettet" betyder ikke altid "inaktiv med det samme." Forsvarsmanualer bør tage højde for korte formidlingsforsinkelser, når følsomme legitimationsoplysninger tilbagekaldes.