Googlen API-avaimet voivat toimia vielä 23 minuuttia poistamisen jälkeen – tietoturvatutkijat varoittavat
Tietoturvatutkijat havaitsivat, että Google Cloudin API avaimet voivat olla käyttökelpoisia 8–23 minuuttia poistamisen jälkeen (mediaani noin 16 minuuttia), mikä luo vaarallisen viiveen, jonka aikana varastettuja avai... Viive johtuu siitä, että avaimen poistaminen ei tapahdu hetkellisesti kaikilla Google palvelimil...
JulkaisijaMuokattu mallilla GPT-5.5Kuvat luotu mallilla GPT Image 2
Tietoturvatutkijat havaitsivat, että Google Cloudin API avaimet voivat olla käyttökelpoisia 8–23 minuuttia poistamisen jälkeen (mediaani noin 16 minuuttia), mikä luo vaarallisen viiveen, jonka aikana varastettuja avai...
Viive johtuu siitä, että avaimen poistaminen ei tapahdu hetkellisesti kaikilla Google palvelimilla, vaan tieto leviää hitaasti hajautetussa järjestelmässä.
Kunnes viive on korjattu, organisaatioiden tulisi kohdella API avaimen poistoa keskeneräisenä toimenpiteenä ja seurata aktiivisesti käyttöä, vaihtaa tunnuksia ja rajoittaa avainten käyttöoikeuksia.
What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requSecurity researchers found that deleted Google Cloud API keys may still authenticate requests for several minutes while revocation propagates across infrastructure.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requ. Article summary: Aikido Security reported that deleting a Google Cloud API key does not revoke it immediately: the key can still successfully authenticate requests for several minutes after deletion, creating a delayed-revocation window . Topic tags: general, documentation, general web, government, education. Reference image context from search candidates: Reference image 1: visual subject "CyberInsider covers the latest news in the cybersecurity and data privacy world. Deleted Google API keys remain valid for up to 23 minutes after revocation, potentially allowing at" source context "Google “Won’t Fix” API key staying active for 23 mins after deletion | CyberInsider" Reference
openai.com
Google Cloudin API-avaimen poistaminen ei välttämättä estä sen toimintaa heti. Tietoturvayhtiö Aikido Securityn tutkijat havaitsivat, että poistettu avain voi edelleen toimia useita minuutteja poistamisen jälkeen, mikä luo lyhyen mutta merkittävän aikaikkunan, jonka aikana vuotaneita tunnistetietoja voidaan edelleen käyttää väärin.
Tutkimuksessa havaittiin, että poistetut avaimet olivat käyttökelpoisia 8–23 minuuttia, mediaanin ollessa noin 16 minuuttia, vaikka Google Cloudin käyttöliittymä osoittaa avaimen jo poistetuksi.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Googlen API-avaimet voivat toimia vielä 23 minuuttia poistamisen jälkeen – tietoturvatutkijat varoittavat"?
Tietoturvatutkijat havaitsivat, että Google Cloudin API avaimet voivat olla käyttökelpoisia 8–23 minuuttia poistamisen jälkeen (mediaani noin 16 minuuttia), mikä luo vaarallisen viiveen, jonka aikana varastettuja avai...
What are the key points to validate first?
Tietoturvatutkijat havaitsivat, että Google Cloudin API avaimet voivat olla käyttökelpoisia 8–23 minuuttia poistamisen jälkeen (mediaani noin 16 minuuttia), mikä luo vaarallisen viiveen, jonka aikana varastettuja avai... Viive johtuu siitä, että avaimen poistaminen ei tapahdu hetkellisesti kaikilla Google palvelimilla, vaan tieto leviää hitaasti hajautetussa järjestelmässä.
What should I do next in practice?
Kunnes viive on korjattu, organisaatioiden tulisi kohdella API avaimen poistoa keskeneräisenä toimenpiteenä ja seurata aktiivisesti käyttöä, vaihtaa tunnuksia ja rajoittaa avainten käyttöoikeuksia.
Googlen API-avaimet voivat toimia vielä 23 minuuttia poistamisen jälkeen – tietoturvatutkijat varoittavat
Tietoturvatutkijat havaitsivat, että Google Cloudin API avaimet voivat olla käyttökelpoisia 8–23 minuuttia poistamisen jälkeen (mediaani noin 16 minuuttia), mikä luo vaarallisen viiveen, jonka aikana varastettuja avai... Viive johtuu siitä, että avaimen poistaminen ei tapahdu hetkellisesti kaikilla Google palvelimil...
JulkaisijaMuokattu mallilla GPT-5.5Kuvat luotu mallilla GPT Image 2
Tietoturvatutkijat havaitsivat, että Google Cloudin API avaimet voivat olla käyttökelpoisia 8–23 minuuttia poistamisen jälkeen (mediaani noin 16 minuuttia), mikä luo vaarallisen viiveen, jonka aikana varastettuja avai...
Viive johtuu siitä, että avaimen poistaminen ei tapahdu hetkellisesti kaikilla Google palvelimilla, vaan tieto leviää hitaasti hajautetussa järjestelmässä.
Kunnes viive on korjattu, organisaatioiden tulisi kohdella API avaimen poistoa keskeneräisenä toimenpiteenä ja seurata aktiivisesti käyttöä, vaihtaa tunnuksia ja rajoittaa avainten käyttöoikeuksia.
What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requSecurity researchers found that deleted Google Cloud API keys may still authenticate requests for several minutes while revocation propagates across infrastructure.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requ. Article summary: Aikido Security reported that deleting a Google Cloud API key does not revoke it immediately: the key can still successfully authenticate requests for several minutes after deletion, creating a delayed-revocation window . Topic tags: general, documentation, general web, government, education. Reference image context from search candidates: Reference image 1: visual subject "CyberInsider covers the latest news in the cybersecurity and data privacy world. Deleted Google API keys remain valid for up to 23 minutes after revocation, potentially allowing at" source context "Google “Won’t Fix” API key staying active for 23 mins after deletion | CyberInsider" Reference
openai.com
Google Cloudin API-avaimen poistaminen ei välttämättä estä sen toimintaa heti. Tietoturvayhtiö Aikido Securityn tutkijat havaitsivat, että poistettu avain voi edelleen toimia useita minuutteja poistamisen jälkeen, mikä luo lyhyen mutta merkittävän aikaikkunan, jonka aikana vuotaneita tunnistetietoja voidaan edelleen käyttää väärin.
Tutkimuksessa havaittiin, että poistetut avaimet olivat käyttökelpoisia 8–23 minuuttia, mediaanin ollessa noin 16 minuuttia, vaikka Google Cloudin käyttöliittymä osoittaa avaimen jo poistetuksi.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Googlen API-avaimet voivat toimia vielä 23 minuuttia poistamisen jälkeen – tietoturvatutkijat varoittavat"?
Tietoturvatutkijat havaitsivat, että Google Cloudin API avaimet voivat olla käyttökelpoisia 8–23 minuuttia poistamisen jälkeen (mediaani noin 16 minuuttia), mikä luo vaarallisen viiveen, jonka aikana varastettuja avai...
What are the key points to validate first?
Tietoturvatutkijat havaitsivat, että Google Cloudin API avaimet voivat olla käyttökelpoisia 8–23 minuuttia poistamisen jälkeen (mediaani noin 16 minuuttia), mikä luo vaarallisen viiveen, jonka aikana varastettuja avai... Viive johtuu siitä, että avaimen poistaminen ei tapahdu hetkellisesti kaikilla Google palvelimilla, vaan tieto leviää hitaasti hajautetussa järjestelmässä.
What should I do next in practice?
Kunnes viive on korjattu, organisaatioiden tulisi kohdella API avaimen poistoa keskeneräisenä toimenpiteenä ja seurata aktiivisesti käyttöä, vaihtaa tunnuksia ja rajoittaa avainten käyttöoikeuksia.
Ongelma liittyy siihen, miten tunnistetietojen muutokset leviävät Googlen hajautetussa infrastruktuurissa. Kun avain poistetaan, poistaminen ei tapahdu samanaikaisesti kaikilla palvelimilla, jotka käsittelevät API-autentikointia. Jotkut järjestelmät hylkäävät tunnistetiedot nopeasti, kun taas toiset saattavat hyväksyä niitä, kunnes poistotieto on saavuttanut ne.
Aikido testasi toimintaa lähettämällä toistuvasti autentikointipyyntöjä uusien avainten poistamisen jälkeen. Kymmenessä kokeessa onnistuneita autentikointeja havaittiin, kunnes poiston leviäminen oli valmis, ja tästä syntyi 8–23 minuutin aikaikkuna, mediaanin ollessa noin 16 minuuttia.
Tämä tarkoittaa, että avain, joka näyttää olevan poistettu Google Cloudin käyttöliittymässä, saattaa edelleen toimia joissakin osissa alustaa.
Miksi viive aiheuttaa todellisen riskin
Organisaatioille, jotka reagoivat vuotaneeseen tunnistetietoon, välitön poistaminen on kriittistä. Aikidon paljastama viive luo ajanjakson, jonka aikana hyökkääjät voivat edelleen käyttää avainta, vaikka puolustajat uskovat sen jo olevan poissa käytöstä.
Jos hyökkääjällä on hallussaan vaarantunut avain tuon aikaikkunan aikana, hän voi edelleen:
Käyttää projektiin liitettyjä käyttöön otettuja API-liittymiä
Lähettää lisää API-pyyntöjä
Aiheuttaa odottamatonta pilvikäyttöä tai laskutusmaksuja
Tutkijat vahvistivat toiminnan avaimilla, jotka oli määritetty Geminiä varten, ja havaitsivat saman viivästyneen poiston myös avaimilla, jotka oli liitetty muihin Google Cloudin API-liittymiin, kuten BigQuery ja Google Maps. Haavoittuvuus liittyy itse API-avaimen tunnistetietotyyppiin, eikä tiettyyn palveluun.
Googlen vastaus raporttiin
Raporttien ja Aikidon julkistuksen mukaan Google käsitteli aluksi toimintaa odotettuna leviämisviiveenä hajautetussa järjestelmässä eikä kriittisenä tietoturva-aukona. Joidenkin raporttien mukaan asia suljettiin alun perin "won’t fix" (ei korjata) -statuksella.
Lisäselvityksen jälkeen raportti avattiin uudelleen ja luokiteltiin sisäisesti P0-luokan bugiksi, mikä viittaa korkeaan prioriteettiin tutkinnassa.
Taustalla oleva tekninen syy – poistotietojen asteittainen leviäminen infrastruktuurissa – tarkoittaa, että tarkka poiston ajoitus voi vaihdella sen mukaan, mikä taustajärjestelmä pyynnön käsittelee.
Käytännön suosituksia kehittäjille ja tietoturvatiimeille
Kunnes poistaminen on taatusti välitöntä, tietoturvatiimien tulisi olettaa, että API-avaimen poistaminen ei estä kaikkea pääsyä heti.
Suositeltavia varotoimia:
Kohtele poistamista viivästyneenä toimenpiteenä
Varaudu väliaikaiseen riski-ikkunaan – noin 30 minuuttiin – jonka aikana vaarantunut avain saattaa edelleen toimia.
Seuraa lokia ja laskutusta poistamisen jälkeen
Odottamattomat API-kutsut tai äkilliset käyttöpiikit pian poistamisen jälkeen voivat viitata jatkuvaan väärinkäyttöön leviämisviiveen aikana.
Rajoita API-avaimia aina kun mahdollista
Google suosittelee rajoitusten, kuten sallittujen viittaajien, IP-osoitteiden tai tiettyjen API-liittymien, käyttämistä, jotta vuotaneella avaimella on rajoitettu käyttökelpoisuus.
Vaihda tunnistetiedot säännöllisesti
Sen sijaan, että luottaisi pelkkään poistamiseen, vaihda avaimet ja päivitä palvelut käyttämään uusia tunnistetietoja mahdollisimman nopeasti.
Laajempi oppi pilviturvallisuuteen
Löytö korostaa tärkeää toiminnallista todellisuutta suurissa hajautetuissa järjestelmissä: kokoonpanomuutokset, mukaan lukien tunnistetietojen poistaminen, leviävät usein asteittain eivätkä heti.
Kehittäjille ja tietoturvatiimeille opetus on selvä – "poistettu" ei aina tarkoita "poissa käytöstä heti". Puolustautumissuunnitelmissa tulisi ottaa huomioon lyhyet leviämisviiveet aina, kun arkaluonteisia tunnistetietoja poistetaan.
Ongelma liittyy siihen, miten tunnistetietojen muutokset leviävät Googlen hajautetussa infrastruktuurissa. Kun avain poistetaan, poistaminen ei tapahdu samanaikaisesti kaikilla palvelimilla, jotka käsittelevät API-autentikointia. Jotkut järjestelmät hylkäävät tunnistetiedot nopeasti, kun taas toiset saattavat hyväksyä niitä, kunnes poistotieto on saavuttanut ne.
Aikido testasi toimintaa lähettämällä toistuvasti autentikointipyyntöjä uusien avainten poistamisen jälkeen. Kymmenessä kokeessa onnistuneita autentikointeja havaittiin, kunnes poiston leviäminen oli valmis, ja tästä syntyi 8–23 minuutin aikaikkuna, mediaanin ollessa noin 16 minuuttia.
Tämä tarkoittaa, että avain, joka näyttää olevan poistettu Google Cloudin käyttöliittymässä, saattaa edelleen toimia joissakin osissa alustaa.
Miksi viive aiheuttaa todellisen riskin
Organisaatioille, jotka reagoivat vuotaneeseen tunnistetietoon, välitön poistaminen on kriittistä. Aikidon paljastama viive luo ajanjakson, jonka aikana hyökkääjät voivat edelleen käyttää avainta, vaikka puolustajat uskovat sen jo olevan poissa käytöstä.
Jos hyökkääjällä on hallussaan vaarantunut avain tuon aikaikkunan aikana, hän voi edelleen:
Käyttää projektiin liitettyjä käyttöön otettuja API-liittymiä
Lähettää lisää API-pyyntöjä
Aiheuttaa odottamatonta pilvikäyttöä tai laskutusmaksuja
Tutkijat vahvistivat toiminnan avaimilla, jotka oli määritetty Geminiä varten, ja havaitsivat saman viivästyneen poiston myös avaimilla, jotka oli liitetty muihin Google Cloudin API-liittymiin, kuten BigQuery ja Google Maps. Haavoittuvuus liittyy itse API-avaimen tunnistetietotyyppiin, eikä tiettyyn palveluun.
Googlen vastaus raporttiin
Raporttien ja Aikidon julkistuksen mukaan Google käsitteli aluksi toimintaa odotettuna leviämisviiveenä hajautetussa järjestelmässä eikä kriittisenä tietoturva-aukona. Joidenkin raporttien mukaan asia suljettiin alun perin "won’t fix" (ei korjata) -statuksella.
Lisäselvityksen jälkeen raportti avattiin uudelleen ja luokiteltiin sisäisesti P0-luokan bugiksi, mikä viittaa korkeaan prioriteettiin tutkinnassa.
Taustalla oleva tekninen syy – poistotietojen asteittainen leviäminen infrastruktuurissa – tarkoittaa, että tarkka poiston ajoitus voi vaihdella sen mukaan, mikä taustajärjestelmä pyynnön käsittelee.
Käytännön suosituksia kehittäjille ja tietoturvatiimeille
Kunnes poistaminen on taatusti välitöntä, tietoturvatiimien tulisi olettaa, että API-avaimen poistaminen ei estä kaikkea pääsyä heti.
Suositeltavia varotoimia:
Kohtele poistamista viivästyneenä toimenpiteenä
Varaudu väliaikaiseen riski-ikkunaan – noin 30 minuuttiin – jonka aikana vaarantunut avain saattaa edelleen toimia.
Seuraa lokia ja laskutusta poistamisen jälkeen
Odottamattomat API-kutsut tai äkilliset käyttöpiikit pian poistamisen jälkeen voivat viitata jatkuvaan väärinkäyttöön leviämisviiveen aikana.
Rajoita API-avaimia aina kun mahdollista
Google suosittelee rajoitusten, kuten sallittujen viittaajien, IP-osoitteiden tai tiettyjen API-liittymien, käyttämistä, jotta vuotaneella avaimella on rajoitettu käyttökelpoisuus.
Vaihda tunnistetiedot säännöllisesti
Sen sijaan, että luottaisi pelkkään poistamiseen, vaihda avaimet ja päivitä palvelut käyttämään uusia tunnistetietoja mahdollisimman nopeasti.
Laajempi oppi pilviturvallisuuteen
Löytö korostaa tärkeää toiminnallista todellisuutta suurissa hajautetuissa järjestelmissä: kokoonpanomuutokset, mukaan lukien tunnistetietojen poistaminen, leviävät usein asteittain eivätkä heti.
Kehittäjille ja tietoturvatiimeille opetus on selvä – "poistettu" ei aina tarkoita "poissa käytöstä heti". Puolustautumissuunnitelmissa tulisi ottaa huomioon lyhyet leviämisviiveet aina, kun arkaluonteisia tunnistetietoja poistetaan.
helpnetsecurity.comDeleted Google API keys keep working for up to 23 minutes, researchers warn - Help Net Security
gigazine.netResearchers have confirmed that leaked Google API keys may remain usable for approximately 23 minutes after deletion.
techradar.com'You have no way to revoke it faster or confirm when it stops working': Experts find Google API keys are still usable, even after you delete them
cyberinsider.comGoogle “Won't Fix” API key staying active for 23 mins after deletion