왜 이런 지연이 발생할까

원인은 Google의 대규모 분산 인프라 구조에 있다. API 인증을 처리하는 서버가 여러 지역과 시스템에 분산되어 있기 때문에, 키 삭제 정보가 모든 서버에 동시에 적용되지 않고 단계적으로 전파된다.

Aikido는 새 API 키를 생성한 뒤 삭제하고, 이후에도 계속 인증 요청을 보내는 방식으로 테스트를 진행했다. 총 10번의 실험에서 일부 서버는 몇 초 내에 키를 거부했지만, 다른 서버는 삭제 정보가 전파될 때까지 계속 키를 받아들였다. 그 결과 8~23분 사이의 사용 가능 창이 확인됐다.

즉, 관리 콘솔에서는 이미 삭제된 키라도 플랫폼의 일부 시스템에서는 잠시 동안 여전히 유효할 수 있다는 뜻이다.

Gemini·BigQuery·Maps 같은 서비스에 미치는 위험

이 지연은 특히 유출된 API 키에 대응하는 상황에서 문제가 된다. 보안 사고 대응에서는 보통 키를 즉시 폐기해 접근을 차단하는데, 이 경우 삭제 이후에도 공격자가 일정 시간 계속 사용할 수 있는 창이 생기기 때문이다.

공격자가 해당 시간 동안 할 수 있는 일은 다음과 같다.

• 프로젝트에 연결된 API 접근
• 추가 API 요청 전송
• 예상치 못한 클라우드 사용량 증가 및 비용 발생

연구진은 Gemini API 접근 권한이 있는 키로 테스트를 진행했으며, BigQuery와 Google Maps API에서도 동일한 현상을 확인했다고 밝혔다. 즉, 문제는 특정 서비스가 아니라 Google Cloud API 키라는 인증 방식 자체의 특성과 관련된 것으로 보인다.

Google의 초기 대응

보고에 따르면 Google은 처음에 이 현상을 **보안 취약점이 아닌 분산 시스템의 전파 지연(propagation delay)**으로 판단하고 문제 보고를 “won’t fix”로 처리했다는 보도가 있었다.

하지만 이후 검토 과정에서 해당 보고는 다시 열렸고 내부적으로 우선순위가 매우 높은 P0 버그로 재분류되어 조사 대상이 된 것으로 전해졌다.

근본적인 원인은 여전히 삭제 정보가 인프라 전체에 단계적으로 전파되는 구조이기 때문에, 실제로 키가 완전히 무효화되는 정확한 시점은 요청이 어떤 백엔드 시스템에 도달하느냐에 따라 달라질 수 있다.

개발자와 보안팀이 취할 수 있는 대응

문제가 완전히 해결되기 전까지는 API 키 삭제가 즉각적인 차단을 의미하지 않을 수 있다는 가정으로 대응하는 것이 권장된다.

삭제 후 일정 시간 위험 창을 가정
API 키를 삭제해도 약 30분 정도는 여전히 사용될 가능성이 있다고 보고 대응 계획을 세운다.

삭제 직후 로그와 비용 모니터링
삭제 이후에도 API 호출이 발생하거나 사용량이 급증한다면 지연 창 동안 악용되고 있을 수 있다.

API 키 제한 설정
Google은 가능한 경우 키에 허용된 IP, referrer, 특정 API만 허용하는 제한을 적용해 유출 시 피해 범위를 줄일 것을 권장한다.

키 회전(rotate)과 빠른 교체
단순 삭제에만 의존하기보다 새로운 키를 생성해 서비스 구성을 빠르게 교체하는 방식이 더 안전하다.

클라우드 보안에서 얻는 교훈

이번 사례는 대규모 클라우드 시스템에서 설정 변경이나 자격 증명 폐기(revocation)가 항상 즉시 적용되는 것은 아니라는 점을 보여준다.

결국 보안 운영의 핵심 교훈은 간단하다.

“삭제됨(deleted)”이 곧바로 “완전히 비활성화(inactive)”를 의미하지는 않을 수 있다.

따라서 클라우드 환경에서 자격 증명을 폐기할 때는 항상 짧은 전파 지연 시간을 고려한 대응 절차가 필요하다.

왜 이런 지연이 발생할까

원인은 Google의 대규모 분산 인프라 구조에 있다. API 인증을 처리하는 서버가 여러 지역과 시스템에 분산되어 있기 때문에, 키 삭제 정보가 모든 서버에 동시에 적용되지 않고 단계적으로 전파된다.

Aikido는 새 API 키를 생성한 뒤 삭제하고, 이후에도 계속 인증 요청을 보내는 방식으로 테스트를 진행했다. 총 10번의 실험에서 일부 서버는 몇 초 내에 키를 거부했지만, 다른 서버는 삭제 정보가 전파될 때까지 계속 키를 받아들였다. 그 결과 8~23분 사이의 사용 가능 창이 확인됐다.

즉, 관리 콘솔에서는 이미 삭제된 키라도 플랫폼의 일부 시스템에서는 잠시 동안 여전히 유효할 수 있다는 뜻이다.

Gemini·BigQuery·Maps 같은 서비스에 미치는 위험

이 지연은 특히 유출된 API 키에 대응하는 상황에서 문제가 된다. 보안 사고 대응에서는 보통 키를 즉시 폐기해 접근을 차단하는데, 이 경우 삭제 이후에도 공격자가 일정 시간 계속 사용할 수 있는 창이 생기기 때문이다.

공격자가 해당 시간 동안 할 수 있는 일은 다음과 같다.

• 프로젝트에 연결된 API 접근
• 추가 API 요청 전송
• 예상치 못한 클라우드 사용량 증가 및 비용 발생

연구진은 Gemini API 접근 권한이 있는 키로 테스트를 진행했으며, BigQuery와 Google Maps API에서도 동일한 현상을 확인했다고 밝혔다. 즉, 문제는 특정 서비스가 아니라 Google Cloud API 키라는 인증 방식 자체의 특성과 관련된 것으로 보인다.

Google의 초기 대응

보고에 따르면 Google은 처음에 이 현상을 **보안 취약점이 아닌 분산 시스템의 전파 지연(propagation delay)**으로 판단하고 문제 보고를 “won’t fix”로 처리했다는 보도가 있었다.

하지만 이후 검토 과정에서 해당 보고는 다시 열렸고 내부적으로 우선순위가 매우 높은 P0 버그로 재분류되어 조사 대상이 된 것으로 전해졌다.

근본적인 원인은 여전히 삭제 정보가 인프라 전체에 단계적으로 전파되는 구조이기 때문에, 실제로 키가 완전히 무효화되는 정확한 시점은 요청이 어떤 백엔드 시스템에 도달하느냐에 따라 달라질 수 있다.

개발자와 보안팀이 취할 수 있는 대응

문제가 완전히 해결되기 전까지는 API 키 삭제가 즉각적인 차단을 의미하지 않을 수 있다는 가정으로 대응하는 것이 권장된다.

삭제 후 일정 시간 위험 창을 가정
API 키를 삭제해도 약 30분 정도는 여전히 사용될 가능성이 있다고 보고 대응 계획을 세운다.

삭제 직후 로그와 비용 모니터링
삭제 이후에도 API 호출이 발생하거나 사용량이 급증한다면 지연 창 동안 악용되고 있을 수 있다.

API 키 제한 설정
Google은 가능한 경우 키에 허용된 IP, referrer, 특정 API만 허용하는 제한을 적용해 유출 시 피해 범위를 줄일 것을 권장한다.

키 회전(rotate)과 빠른 교체
단순 삭제에만 의존하기보다 새로운 키를 생성해 서비스 구성을 빠르게 교체하는 방식이 더 안전하다.

클라우드 보안에서 얻는 교훈

이번 사례는 대규모 클라우드 시스템에서 설정 변경이나 자격 증명 폐기(revocation)가 항상 즉시 적용되는 것은 아니라는 점을 보여준다.

결국 보안 운영의 핵심 교훈은 간단하다.

“삭제됨(deleted)”이 곧바로 “완전히 비활성화(inactive)”를 의미하지는 않을 수 있다.

따라서 클라우드 환경에서 자격 증명을 폐기할 때는 항상 짧은 전파 지연 시간을 고려한 대응 절차가 필요하다.