Het beveiligingslek: vertraagde intrekking

Het probleem zit hem in de manier waarop wijzigingen in inloggegevens worden doorgevoerd in de gedistribueerde infrastructuur van Google. Wanneer een sleutel wordt verwijderd, wordt de intrekking niet gelijktijdig op alle servers afgedwongen die API-authenticatie verwerken. Sommige systemen wijzen de inloggegevens snel af, terwijl andere deze nog accepteren totdat de verwijderingsupdate hen bereikt.

Aikido testte dit gedrag door herhaaldelijk authenticatieverzoeken te sturen na het verwijderen van nieuw aangemaakte sleutels. Bij tien proeven bleef authenticatie succesvol totdat de intrekkingspropagatie was voltooid, wat resulteerde in het waargenomen venster van 8–23 minuten met een mediaan van ongeveer 16 minuten.

Dit betekent dat een sleutel die in de Google Cloud-interface als verwijderd wordt weergegeven, op delen van het platform nog kort functioneel kan zijn.

Waarom dit tijdsvenster een reëel risico vormt

Voor organisaties die reageren op een gelekt inloggegeven is onmiddellijke intrekking van cruciaal belang. De door Aikido ontdekte vertraging creëert een periode waarin aanvallers de sleutel kunnen blijven gebruiken, zelfs nadat verdedigers denken dat deze is uitgeschakeld.

Als een aanvaller in dat tijdsvenster over een gecompromitteerde sleutel beschikt, kunnen ze mogelijk nog:

• Toegang krijgen tot ingeschakelde API's die aan het project zijn gekoppeld
• Extra API-verzoeken verzenden
• Onverwacht cloudgebruik of factureringskosten genereren

De onderzoekers bevestigden het gedrag met sleutels die waren geconfigureerd voor Gemini, en zagen dezelfde vertraagde intrekking bij sleutels die waren gekoppeld aan andere Google Cloud API's zoals BigQuery en Google Maps. Het beveiligingslek is gekoppeld aan het type API-sleutelcredential zelf, niet aan een specifieke service.

Reactie van Google

Volgens rapporten en de openbaarmaking van Aikido behandelde Google het gedrag aanvankelijk als een verwachte propagatievertraging in een gedistribueerd systeem, en niet als een kritiek beveiligingslek. Sommige rapporten stellen dat de kwestie eerst werd gesloten als 'won't fix'.

Na een verdere beoordeling werd het rapport later heropend en intern geclassificeerd als een P0-bug, wat aangeeft dat het een hoge prioriteit heeft voor onderzoek.

De onderliggende technische oorzaak – het feit dat intrekkingsupdates geleidelijk door de infrastructuur worden verspreid – betekent dat de exacte intrekkingstijd kan variëren, afhankelijk van welke back-endsystemen een verzoek verwerken.

Praktische voorzorgsmaatregelen voor ontwikkelaars en beveiligingsteams

Totdat gegarandeerd is dat intrekking onmiddellijk plaatsvindt, moeten beveiligingsteams ervan uitgaan dat het verwijderen van een API-sleutel niet direct alle toegang blokkeert.

Aanbevolen voorzorgsmaatregelen zijn:

Behandel verwijdering als een vertraagde beheersmaatregel
Houd rekening met een tijdelijk risicovenster – grofweg tot 30 minuten – waarin een gecompromitteerde sleutel nog kan werken.

Monitor logs en facturatie na intrekking
Onverwachte API-aanroepen of plotselinge pieken in gebruik kort na verwijdering kunnen wijzen op aanhoudend misbruik tijdens het propagatievenster.

Beperk API-sleutels waar mogelijk
Google raadt aan om beperkingen toe te passen zoals toegestane verwijzers (referrers), IP-adressen of specifieke API's, zodat een gelekende sleutel beperkte functionaliteit heeft.

Roteer en vervang inloggegevens
Vertrouw niet alleen op verwijdering, maar roteer sleutels en werk services zo snel mogelijk bij om nieuw gegenereerde inloggegevens te gebruiken.

De bredere les voor cloudbeveiliging

De ontdekking benadrukt een belangrijke operationele realiteit van grote gedistribueerde systemen: configuratiewijzigingen, waaronder het intrekken van inloggegevens, worden vaak geleidelijk doorgevoerd in plaats van onmiddellijk.

Voor ontwikkelaars en beveiligingsteams is de boodschap duidelijk: 'verwijderd' betekent niet altijd 'onmiddellijk inactief'. Verdedigingsdraaiboeken moeten rekening houden met korte propagatievertragingen wanneer gevoelige inloggegevens worden ingetrokken.

Het beveiligingslek: vertraagde intrekking

Het probleem zit hem in de manier waarop wijzigingen in inloggegevens worden doorgevoerd in de gedistribueerde infrastructuur van Google. Wanneer een sleutel wordt verwijderd, wordt de intrekking niet gelijktijdig op alle servers afgedwongen die API-authenticatie verwerken. Sommige systemen wijzen de inloggegevens snel af, terwijl andere deze nog accepteren totdat de verwijderingsupdate hen bereikt.

Aikido testte dit gedrag door herhaaldelijk authenticatieverzoeken te sturen na het verwijderen van nieuw aangemaakte sleutels. Bij tien proeven bleef authenticatie succesvol totdat de intrekkingspropagatie was voltooid, wat resulteerde in het waargenomen venster van 8–23 minuten met een mediaan van ongeveer 16 minuten.

Dit betekent dat een sleutel die in de Google Cloud-interface als verwijderd wordt weergegeven, op delen van het platform nog kort functioneel kan zijn.

Waarom dit tijdsvenster een reëel risico vormt

Voor organisaties die reageren op een gelekt inloggegeven is onmiddellijke intrekking van cruciaal belang. De door Aikido ontdekte vertraging creëert een periode waarin aanvallers de sleutel kunnen blijven gebruiken, zelfs nadat verdedigers denken dat deze is uitgeschakeld.

Als een aanvaller in dat tijdsvenster over een gecompromitteerde sleutel beschikt, kunnen ze mogelijk nog:

• Toegang krijgen tot ingeschakelde API's die aan het project zijn gekoppeld
• Extra API-verzoeken verzenden
• Onverwacht cloudgebruik of factureringskosten genereren

De onderzoekers bevestigden het gedrag met sleutels die waren geconfigureerd voor Gemini, en zagen dezelfde vertraagde intrekking bij sleutels die waren gekoppeld aan andere Google Cloud API's zoals BigQuery en Google Maps. Het beveiligingslek is gekoppeld aan het type API-sleutelcredential zelf, niet aan een specifieke service.

Reactie van Google

Volgens rapporten en de openbaarmaking van Aikido behandelde Google het gedrag aanvankelijk als een verwachte propagatievertraging in een gedistribueerd systeem, en niet als een kritiek beveiligingslek. Sommige rapporten stellen dat de kwestie eerst werd gesloten als 'won't fix'.

Na een verdere beoordeling werd het rapport later heropend en intern geclassificeerd als een P0-bug, wat aangeeft dat het een hoge prioriteit heeft voor onderzoek.

De onderliggende technische oorzaak – het feit dat intrekkingsupdates geleidelijk door de infrastructuur worden verspreid – betekent dat de exacte intrekkingstijd kan variëren, afhankelijk van welke back-endsystemen een verzoek verwerken.

Praktische voorzorgsmaatregelen voor ontwikkelaars en beveiligingsteams

Totdat gegarandeerd is dat intrekking onmiddellijk plaatsvindt, moeten beveiligingsteams ervan uitgaan dat het verwijderen van een API-sleutel niet direct alle toegang blokkeert.

Aanbevolen voorzorgsmaatregelen zijn:

Behandel verwijdering als een vertraagde beheersmaatregel
Houd rekening met een tijdelijk risicovenster – grofweg tot 30 minuten – waarin een gecompromitteerde sleutel nog kan werken.

Monitor logs en facturatie na intrekking
Onverwachte API-aanroepen of plotselinge pieken in gebruik kort na verwijdering kunnen wijzen op aanhoudend misbruik tijdens het propagatievenster.

Beperk API-sleutels waar mogelijk
Google raadt aan om beperkingen toe te passen zoals toegestane verwijzers (referrers), IP-adressen of specifieke API's, zodat een gelekende sleutel beperkte functionaliteit heeft.

Roteer en vervang inloggegevens
Vertrouw niet alleen op verwijdering, maar roteer sleutels en werk services zo snel mogelijk bij om nieuw gegenereerde inloggegevens te gebruiken.

De bredere les voor cloudbeveiliging

De ontdekking benadrukt een belangrijke operationele realiteit van grote gedistribueerde systemen: configuratiewijzigingen, waaronder het intrekken van inloggegevens, worden vaak geleidelijk doorgevoerd in plaats van onmiddellijk.

Voor ontwikkelaars en beveiligingsteams is de boodschap duidelijk: 'verwijderd' betekent niet altijd 'onmiddellijk inactief'. Verdedigingsdraaiboeken moeten rekening houden met korte propagatievertragingen wanneer gevoelige inloggegevens worden ingetrokken.