Peneliti: API Key Google Cloud Masih Aktif Sampai 23 Menit Setelah Dihapus

Mengapa kunci masih bekerja setelah dihapus

Masalah ini berkaitan dengan cara perubahan kredensial dipropagasikan dalam sistem terdistribusi milik Google. Ketika sebuah kunci API dihapus, informasi pencabutan tersebut tidak langsung berlaku di seluruh server autentikasi.

Beberapa server memperbarui status dengan cepat dan menolak kunci tersebut, tetapi server lain mungkin masih menerima kunci sampai pembaruan penghapusan menyebar sepenuhnya ke seluruh infrastruktur.

Aikido menguji fenomena ini dengan membuat kunci API baru, menghapusnya, lalu terus mengirim permintaan autentikasi berulang. Dalam 10 percobaan selama dua hari, autentikasi masih berhasil hingga propagasi pencabutan selesai—menghasilkan jendela waktu 8–23 menit dengan median sekitar 16 menit.

Artinya, meskipun kunci terlihat sudah dihapus di antarmuka Google Cloud, sebagian sistem di backend mungkin masih menerimanya sementara waktu.

Risiko keamanan yang muncul

Dalam situasi kebocoran kredensial, kecepatan mencabut akses sangat penting. Jeda propagasi ini berarti penyerang yang sudah memiliki kunci API dapat terus menggunakannya meskipun pemiliknya telah menghapus kunci tersebut.

Selama jendela tersebut, penyerang berpotensi:

• Mengakses API yang aktif pada proyek
• Mengirim permintaan API tambahan
• Menimbulkan lonjakan penggunaan cloud atau biaya tagihan

Peneliti mengonfirmasi perilaku ini pada kunci yang memiliki akses ke Gemini, dan menemukan pola yang sama pada API Google Cloud lainnya seperti BigQuery dan Google Maps. Ini menunjukkan bahwa masalahnya berasal dari mekanisme kunci API itu sendiri, bukan dari layanan tertentu.

Respons awal dari Google

Menurut laporan yang dipublikasikan peneliti, Google awalnya menganggap perilaku ini sebagai propagation delay normal dalam sistem terdistribusi, bukan kerentanan keamanan kritis. Beberapa laporan menyebutkan temuan tersebut sempat ditutup dengan status "won’t fix."

Namun setelah peninjauan lebih lanjut, laporan tersebut dibuka kembali dan diklasifikasikan secara internal sebagai bug P0, yang biasanya menunjukkan prioritas investigasi sangat tinggi.

Karena penyebabnya berkaitan dengan bagaimana perubahan status menyebar di seluruh infrastruktur, waktu pasti hingga kunci benar‑benar tidak bisa digunakan dapat berbeda tergantung server mana yang memproses permintaan.

Langkah pencegahan yang disarankan

Sampai mekanisme pencabutan benar‑benar instan, tim keamanan sebaiknya menganggap bahwa menghapus API key tidak langsung memutus semua akses.

Beberapa langkah praktis yang direkomendasikan:

Anggap penghapusan sebagai langkah penahanan yang tertunda
Perkirakan ada jendela risiko sementara—sekitar hingga 30 menit—di mana kunci yang bocor mungkin masih berfungsi.

Pantau log dan penggunaan setelah penghapusan
Lonjakan permintaan API atau biaya yang tidak wajar setelah penghapusan dapat menandakan penyalahgunaan selama periode propagasi.

Batasi penggunaan API key
Google menyarankan menerapkan pembatasan seperti referrer yang diizinkan, alamat IP tertentu, atau hanya API spesifik agar kunci yang bocor tidak dapat digunakan secara luas.

Rotasi kredensial dengan cepat
Selain menghapus, buat kunci baru dan segera perbarui layanan agar menggunakan kredensial baru.

Pelajaran untuk keamanan cloud

Temuan ini menyoroti realitas penting dari sistem cloud berskala besar: perubahan konfigurasi sering tidak berlaku secara instan di seluruh infrastruktur.

Bagi pengembang dan tim keamanan, implikasinya jelas—dalam beberapa kasus, status "deleted" tidak selalu berarti akses benar‑benar berhenti saat itu juga. Prosedur respons insiden perlu memperhitungkan kemungkinan jeda propagasi ketika mencabut kredensial sensitif.