Gelöschte Google‑API‑Keys bleiben bis zu 23 Minuten aktiv
Forscher entdeckten, dass gelöschte Google‑Cloud‑API‑Schlüssel noch 8 bis 23 Minuten lang Anfragen authentifizieren können (Median etwa 16 Minuten). Die Verzögerung entsteht, weil Widerrufe nicht sofort in Googles verteilter Infrastruktur wirksam werden, sondern schrittweise propagieren.
Veröffentlicht vonBearbeitet mit GPT-5.5Bilder erstellt mit GPT Image 2
Forscher entdeckten, dass gelöschte Google‑Cloud‑API‑Schlüssel noch 8 bis 23 Minuten lang Anfragen authentifizieren können (Median etwa 16 Minuten).
Die Verzögerung entsteht, weil Widerrufe nicht sofort in Googles verteilter Infrastruktur wirksam werden, sondern schrittweise propagieren.
Organisationen sollten gelöschte Schlüssel noch eine Zeit lang überwachen, Logs prüfen, API‑Zugriffe einschränken und kompromittierte Schlüssel sofort rotieren.
What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requSecurity researchers found that deleted Google Cloud API keys may still authenticate requests for several minutes while revocation propagates across infrastructure.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requ. Article summary: Aikido Security reported that deleting a Google Cloud API key does not revoke it immediately: the key can still successfully authenticate requests for several minutes after deletion, creating a delayed-revocation window . Topic tags: general, documentation, general web, government, education. Reference image context from search candidates: Reference image 1: visual subject "CyberInsider covers the latest news in the cybersecurity and data privacy world. Deleted Google API keys remain valid for up to 23 minutes after revocation, potentially allowing at" source context "Google “Won’t Fix” API key staying active for 23 mins after deletion | CyberInsider" Reference
openai.com
Das Löschen eines Google‑Cloud‑API‑Schlüssels beendet dessen Nutzung nicht zwingend sofort. Sicherheitsforscher von Aikido Security haben festgestellt, dass ein gelöschter Schlüssel noch mehrere Minuten lang API‑Anfragen authentifizieren kann – selbst wenn die Google‑Cloud‑Konsole bereits anzeigt, dass der Schlüssel entfernt wurde.
In ihren Tests beobachteten die Forscher, dass gelöschte Schlüssel weiterhin zwischen 8 und 23 Minuten funktionierten, mit einem Median von etwa 16 Minuten.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Gelöschte Google‑API‑Keys bleiben bis zu 23 Minuten aktiv“?
Forscher entdeckten, dass gelöschte Google‑Cloud‑API‑Schlüssel noch 8 bis 23 Minuten lang Anfragen authentifizieren können (Median etwa 16 Minuten).
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Forscher entdeckten, dass gelöschte Google‑Cloud‑API‑Schlüssel noch 8 bis 23 Minuten lang Anfragen authentifizieren können (Median etwa 16 Minuten). Die Verzögerung entsteht, weil Widerrufe nicht sofort in Googles verteilter Infrastruktur wirksam werden, sondern schrittweise propagieren.
Was soll ich als nächstes in der Praxis tun?
Organisationen sollten gelöschte Schlüssel noch eine Zeit lang überwachen, Logs prüfen, API‑Zugriffe einschränken und kompromittierte Schlüssel sofort rotieren.
Gelöschte Google‑API‑Keys bleiben bis zu 23 Minuten aktiv
Forscher entdeckten, dass gelöschte Google‑Cloud‑API‑Schlüssel noch 8 bis 23 Minuten lang Anfragen authentifizieren können (Median etwa 16 Minuten). Die Verzögerung entsteht, weil Widerrufe nicht sofort in Googles verteilter Infrastruktur wirksam werden, sondern schrittweise propagieren.
Veröffentlicht vonBearbeitet mit GPT-5.5Bilder erstellt mit GPT Image 2
Forscher entdeckten, dass gelöschte Google‑Cloud‑API‑Schlüssel noch 8 bis 23 Minuten lang Anfragen authentifizieren können (Median etwa 16 Minuten).
Die Verzögerung entsteht, weil Widerrufe nicht sofort in Googles verteilter Infrastruktur wirksam werden, sondern schrittweise propagieren.
Organisationen sollten gelöschte Schlüssel noch eine Zeit lang überwachen, Logs prüfen, API‑Zugriffe einschränken und kompromittierte Schlüssel sofort rotieren.
What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requSecurity researchers found that deleted Google Cloud API keys may still authenticate requests for several minutes while revocation propagates across infrastructure.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requ. Article summary: Aikido Security reported that deleting a Google Cloud API key does not revoke it immediately: the key can still successfully authenticate requests for several minutes after deletion, creating a delayed-revocation window . Topic tags: general, documentation, general web, government, education. Reference image context from search candidates: Reference image 1: visual subject "CyberInsider covers the latest news in the cybersecurity and data privacy world. Deleted Google API keys remain valid for up to 23 minutes after revocation, potentially allowing at" source context "Google “Won’t Fix” API key staying active for 23 mins after deletion | CyberInsider" Reference
openai.com
Das Löschen eines Google‑Cloud‑API‑Schlüssels beendet dessen Nutzung nicht zwingend sofort. Sicherheitsforscher von Aikido Security haben festgestellt, dass ein gelöschter Schlüssel noch mehrere Minuten lang API‑Anfragen authentifizieren kann – selbst wenn die Google‑Cloud‑Konsole bereits anzeigt, dass der Schlüssel entfernt wurde.
In ihren Tests beobachteten die Forscher, dass gelöschte Schlüssel weiterhin zwischen 8 und 23 Minuten funktionierten, mit einem Median von etwa 16 Minuten.
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Gelöschte Google‑API‑Keys bleiben bis zu 23 Minuten aktiv“?
Forscher entdeckten, dass gelöschte Google‑Cloud‑API‑Schlüssel noch 8 bis 23 Minuten lang Anfragen authentifizieren können (Median etwa 16 Minuten).
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Forscher entdeckten, dass gelöschte Google‑Cloud‑API‑Schlüssel noch 8 bis 23 Minuten lang Anfragen authentifizieren können (Median etwa 16 Minuten). Die Verzögerung entsteht, weil Widerrufe nicht sofort in Googles verteilter Infrastruktur wirksam werden, sondern schrittweise propagieren.
Was soll ich als nächstes in der Praxis tun?
Organisationen sollten gelöschte Schlüssel noch eine Zeit lang überwachen, Logs prüfen, API‑Zugriffe einschränken und kompromittierte Schlüssel sofort rotieren.
Der Grund liegt in der Architektur großer verteilter Systeme. Änderungen an Zugangsdaten – etwa das Löschen eines API‑Schlüssels – werden nicht gleichzeitig auf allen Servern wirksam.
Wenn ein Schlüssel gelöscht wird, muss diese Information zuerst durch Googles Infrastruktur propagiert werden. Während einige Backend‑Systeme den Schlüssel bereits ablehnen, akzeptieren andere ihn möglicherweise noch, bis die Aktualisierung dort angekommen ist.
Aikido testete dieses Verhalten, indem nach dem Löschen frisch erstellter Schlüssel weiterhin regelmäßig Authentifizierungsanfragen gesendet wurden. In zehn Testläufen funktionierte die Authentifizierung noch mehrere Minuten weiter, bis die Widerrufs‑Information vollständig verteilt war. Daraus ergab sich das beobachtete Zeitfenster von 8 bis 23 Minuten.
Warum das ein Sicherheitsrisiko ist
Für Unternehmen ist das schnelle Deaktivieren kompromittierter Zugangsdaten entscheidend. Wird ein API‑Schlüssel öffentlich oder gestohlen, löschen Administratoren ihn normalerweise sofort, um Missbrauch zu stoppen.
Die von Aikido beobachtete Verzögerung bedeutet jedoch, dass Angreifer den Schlüssel noch eine Weile weiter nutzen können, obwohl Verteidiger glauben, er sei bereits deaktiviert.
In diesem Zeitfenster könnten Angreifer zum Beispiel:
auf aktivierte APIs eines Projekts zugreifen
weitere API‑Anfragen senden
unerwartete Cloud‑Kosten oder Ressourcenverbrauch verursachen
Die Forscher testeten Schlüssel unter anderem mit Zugriff auf Gemini, stellten jedoch fest, dass das Verhalten auch bei anderen Google‑Cloud‑APIs auftritt, darunter BigQuery und Google Maps. Das Problem hängt also mit dem API‑Key‑Mechanismus selbst zusammen und nicht mit einem bestimmten Dienst.
Googles Reaktion
Berichten zufolge stufte Google das Verhalten zunächst als normalen Propagation‑Delay in einem verteilten System ein und betrachtete es nicht als kritische Sicherheitslücke. In einigen Fällen wurde der Bericht zunächst als „won’t fix“ geschlossen.
Nach weiterer Prüfung wurde der Report jedoch wieder geöffnet und intern als P0‑Bug – also mit höchster Priorität – klassifiziert.
Was Entwickler und Sicherheitsteams jetzt tun sollten
Bis eine sofortige Widerrufs‑Garantie möglich ist, sollten Teams davon ausgehen, dass das Löschen eines API‑Schlüssels nicht sofort alle Zugriffe stoppt.
Sinnvolle Vorsichtsmaßnahmen sind unter anderem:
Löschung als verzögerte Eindämmung betrachten
Nach dem Löschen eines kompromittierten Schlüssels sollte ein potenzielles Risiko‑Fenster von bis zu etwa 30 Minuten eingeplant werden.
Logs und Abrechnung genau beobachten
Unerwartete API‑Aufrufe oder plötzliche Nutzungsspitzen kurz nach dem Löschen können darauf hinweisen, dass ein Schlüssel weiterhin verwendet wird.
API‑Schlüssel strikt einschränken
Google empfiehlt, Schlüssel auf bestimmte APIs, IP‑Adressen oder HTTP‑Referrer zu beschränken, damit ein geleakter Schlüssel möglichst wenig Schaden anrichten kann.
Schlüssel rotieren statt nur löschen
Im Incident‑Fall sollten neue Zugangsdaten erzeugt und Dienste möglichst schnell auf diese umgestellt werden, statt sich allein auf das Löschen zu verlassen.
Die größere Lektion für Cloud‑Sicherheit
Der Vorfall zeigt ein grundlegendes Prinzip moderner Cloud‑Infrastrukturen: Änderungen an Konfigurationen oder Zugangsdaten werden oft nicht sofort global wirksam, sondern breiten sich schrittweise aus.
Für Sicherheitsteams bedeutet das eine wichtige operative Regel: „Gelöscht“ heißt nicht zwangsläufig „sofort inaktiv“. Schutzmaßnahmen und Incident‑Response‑Pläne sollten solche Verzögerungen einkalkulieren.
Der Grund liegt in der Architektur großer verteilter Systeme. Änderungen an Zugangsdaten – etwa das Löschen eines API‑Schlüssels – werden nicht gleichzeitig auf allen Servern wirksam.
Wenn ein Schlüssel gelöscht wird, muss diese Information zuerst durch Googles Infrastruktur propagiert werden. Während einige Backend‑Systeme den Schlüssel bereits ablehnen, akzeptieren andere ihn möglicherweise noch, bis die Aktualisierung dort angekommen ist.
Aikido testete dieses Verhalten, indem nach dem Löschen frisch erstellter Schlüssel weiterhin regelmäßig Authentifizierungsanfragen gesendet wurden. In zehn Testläufen funktionierte die Authentifizierung noch mehrere Minuten weiter, bis die Widerrufs‑Information vollständig verteilt war. Daraus ergab sich das beobachtete Zeitfenster von 8 bis 23 Minuten.
Warum das ein Sicherheitsrisiko ist
Für Unternehmen ist das schnelle Deaktivieren kompromittierter Zugangsdaten entscheidend. Wird ein API‑Schlüssel öffentlich oder gestohlen, löschen Administratoren ihn normalerweise sofort, um Missbrauch zu stoppen.
Die von Aikido beobachtete Verzögerung bedeutet jedoch, dass Angreifer den Schlüssel noch eine Weile weiter nutzen können, obwohl Verteidiger glauben, er sei bereits deaktiviert.
In diesem Zeitfenster könnten Angreifer zum Beispiel:
auf aktivierte APIs eines Projekts zugreifen
weitere API‑Anfragen senden
unerwartete Cloud‑Kosten oder Ressourcenverbrauch verursachen
Die Forscher testeten Schlüssel unter anderem mit Zugriff auf Gemini, stellten jedoch fest, dass das Verhalten auch bei anderen Google‑Cloud‑APIs auftritt, darunter BigQuery und Google Maps. Das Problem hängt also mit dem API‑Key‑Mechanismus selbst zusammen und nicht mit einem bestimmten Dienst.
Googles Reaktion
Berichten zufolge stufte Google das Verhalten zunächst als normalen Propagation‑Delay in einem verteilten System ein und betrachtete es nicht als kritische Sicherheitslücke. In einigen Fällen wurde der Bericht zunächst als „won’t fix“ geschlossen.
Nach weiterer Prüfung wurde der Report jedoch wieder geöffnet und intern als P0‑Bug – also mit höchster Priorität – klassifiziert.
Was Entwickler und Sicherheitsteams jetzt tun sollten
Bis eine sofortige Widerrufs‑Garantie möglich ist, sollten Teams davon ausgehen, dass das Löschen eines API‑Schlüssels nicht sofort alle Zugriffe stoppt.
Sinnvolle Vorsichtsmaßnahmen sind unter anderem:
Löschung als verzögerte Eindämmung betrachten
Nach dem Löschen eines kompromittierten Schlüssels sollte ein potenzielles Risiko‑Fenster von bis zu etwa 30 Minuten eingeplant werden.
Logs und Abrechnung genau beobachten
Unerwartete API‑Aufrufe oder plötzliche Nutzungsspitzen kurz nach dem Löschen können darauf hinweisen, dass ein Schlüssel weiterhin verwendet wird.
API‑Schlüssel strikt einschränken
Google empfiehlt, Schlüssel auf bestimmte APIs, IP‑Adressen oder HTTP‑Referrer zu beschränken, damit ein geleakter Schlüssel möglichst wenig Schaden anrichten kann.
Schlüssel rotieren statt nur löschen
Im Incident‑Fall sollten neue Zugangsdaten erzeugt und Dienste möglichst schnell auf diese umgestellt werden, statt sich allein auf das Löschen zu verlassen.
Die größere Lektion für Cloud‑Sicherheit
Der Vorfall zeigt ein grundlegendes Prinzip moderner Cloud‑Infrastrukturen: Änderungen an Konfigurationen oder Zugangsdaten werden oft nicht sofort global wirksam, sondern breiten sich schrittweise aus.
Für Sicherheitsteams bedeutet das eine wichtige operative Regel: „Gelöscht“ heißt nicht zwangsläufig „sofort inaktiv“. Schutzmaßnahmen und Incident‑Response‑Pläne sollten solche Verzögerungen einkalkulieren.
helpnetsecurity.comDeleted Google API keys keep working for up to 23 minutes, researchers warn - Help Net Security
gigazine.netResearchers have confirmed that leaked Google API keys may remain usable for approximately 23 minutes after deletion.
techradar.com'You have no way to revoke it faster or confirm when it stops working': Experts find Google API keys are still usable, even after you delete them
cyberinsider.comGoogle “Won't Fix” API key staying active for 23 mins after deletion