Sårbarheten med forsinket tilbakekalling

Problemet stammer fra hvordan legitimasjonsendringer propageres over Googles distribuerte infrastruktur. Når en nøkkel slettes, håndheves tilbakekallingen ikke samtidig på alle servere som håndterer API-autentisering. Noen systemer avviser legitimasjonen raskt, mens andre kan fortsette å akseptere den til slettingsoppdateringen når dem.

Aikido testet oppførselen ved å gjentatte ganger sende autentiseringsforespørsler etter å ha slettet nylig opprettede nøkler. I løpet av ti forsøk fortsatte vellykket autentisering til tilbakekallingspropageringen var fullført, noe som ga det observerte 8–23 minutters vinduet med en median på omtrent 16 minutter.

Dette betyr at en nøkkel som ser ut til å være slettet i Google Cloud-grensesnittet, fortsatt kan fungere kortvarig på deler av plattformen.

Hvorfor gapet skaper reell risiko

For organisasjoner som reagerer på en lekkasje, er umiddelbar tilbakekalling kritisk. Forsinkelsen som Aikido avdekket, skaper en periode der angripere kan fortsette å bruke nøkkelen, selv etter at forsvarere tror den er deaktivert.

Hvis en angriper har en kompromittert nøkkel i det vinduet, kan de fortsatt:

• Få tilgang til aktiverte API-er knyttet til prosjektet
• Sende ytterligere API-forespørsler
• Generere uventet skybruk eller faktureringskostnader

Forskerne bekreftet oppførselen med nøkler konfigurert for Gemini, og observerte samme forsinkede tilbakekalling for nøkler koblet til andre Google Cloud API-er som BigQuery og Google Maps. Sårbarheten er knyttet til API-nøkkeltypen i seg selv, ikke til en spesifikk tjeneste.

Googles svar på rapporten

Ifølge rapporter og Aikidos avsløring behandlet Google først oppførselen som en forventet propageringsforsinkelse i et distribuert system, snarere enn en kritisk sikkerhetsfeil. Saken skal først ha blitt avsluttet som "won't fix" (ikke vil fikse).

Etter ytterligere gjennomgang ble rapporten senere gjenåpnet og klassifisert internt som en P0-feil, noe som indikerer høy prioritet for etterforskning.

Den underliggende tekniske årsaken – at tilbakekallingsmeldinger propageres gradvis over infrastrukturen – betyr at nøyaktig tidspunkt for tilbakekalling kan variere avhengig av hvilke bakend-systemer som behandler en forespørsel.

Praktiske forholdsregler for utviklere og sikkerhetsteam

Inntil tilbakekallingsatferd er garantert å være umiddelbar, bør sikkerhetsteam anta at sletting av en API-nøkkel ikke umiddelbart blokkerer all tilgang.

Anbefalte forholdsregler inkluderer:

Behandle sletting som et forsinket inneslutningstrinn
Planlegg for et midlertidig risikovindu – omtrent opptil 30 minutter – der en kompromittert nøkkel fortsatt kan fungere.

Overvåk logger og fakturering etter tilbakekalling
Uventede API-kall eller plutselige brukstopper kort tid etter sletting kan indikere fortsatt misbruk i propagasjonsvinduet.

Begrens API-nøkler der det er mulig
Google anbefaler å bruke begrensninger som tillatte henvisere, IP-adresser eller spesifikke API-er, slik at en lekket nøkkel har begrenset nytteverdi.

Roter og bytt legitimasjon
I stedet for å stole utelukkende på sletting, roter nøkler og oppdater tjenester til å bruke nygenerert legitimasjon så raskt som mulig.

Den bredere lærdommen for skysikkerhet

Oppdagelsen belyser en viktig operasjonell realitet i store distribuerte systemer: konfigurasjonsendringer, inkludert tilbakekalling av legitimasjon, propageres ofte gradvis snarere enn umiddelbart.

For utviklere og sikkerhetsteam er budskapet enkelt – "slettet" betyr ikke alltid "inaktiv umiddelbart." Forsvarsplaner bør ta høyde for korte propageringsforsinkelser når sensitiv legitimasjon tilbakekalles.

Sårbarheten med forsinket tilbakekalling

Problemet stammer fra hvordan legitimasjonsendringer propageres over Googles distribuerte infrastruktur. Når en nøkkel slettes, håndheves tilbakekallingen ikke samtidig på alle servere som håndterer API-autentisering. Noen systemer avviser legitimasjonen raskt, mens andre kan fortsette å akseptere den til slettingsoppdateringen når dem.

Aikido testet oppførselen ved å gjentatte ganger sende autentiseringsforespørsler etter å ha slettet nylig opprettede nøkler. I løpet av ti forsøk fortsatte vellykket autentisering til tilbakekallingspropageringen var fullført, noe som ga det observerte 8–23 minutters vinduet med en median på omtrent 16 minutter.

Dette betyr at en nøkkel som ser ut til å være slettet i Google Cloud-grensesnittet, fortsatt kan fungere kortvarig på deler av plattformen.

Hvorfor gapet skaper reell risiko

For organisasjoner som reagerer på en lekkasje, er umiddelbar tilbakekalling kritisk. Forsinkelsen som Aikido avdekket, skaper en periode der angripere kan fortsette å bruke nøkkelen, selv etter at forsvarere tror den er deaktivert.

Hvis en angriper har en kompromittert nøkkel i det vinduet, kan de fortsatt:

• Få tilgang til aktiverte API-er knyttet til prosjektet
• Sende ytterligere API-forespørsler
• Generere uventet skybruk eller faktureringskostnader

Forskerne bekreftet oppførselen med nøkler konfigurert for Gemini, og observerte samme forsinkede tilbakekalling for nøkler koblet til andre Google Cloud API-er som BigQuery og Google Maps. Sårbarheten er knyttet til API-nøkkeltypen i seg selv, ikke til en spesifikk tjeneste.

Googles svar på rapporten

Ifølge rapporter og Aikidos avsløring behandlet Google først oppførselen som en forventet propageringsforsinkelse i et distribuert system, snarere enn en kritisk sikkerhetsfeil. Saken skal først ha blitt avsluttet som "won't fix" (ikke vil fikse).

Etter ytterligere gjennomgang ble rapporten senere gjenåpnet og klassifisert internt som en P0-feil, noe som indikerer høy prioritet for etterforskning.

Den underliggende tekniske årsaken – at tilbakekallingsmeldinger propageres gradvis over infrastrukturen – betyr at nøyaktig tidspunkt for tilbakekalling kan variere avhengig av hvilke bakend-systemer som behandler en forespørsel.

Praktiske forholdsregler for utviklere og sikkerhetsteam

Inntil tilbakekallingsatferd er garantert å være umiddelbar, bør sikkerhetsteam anta at sletting av en API-nøkkel ikke umiddelbart blokkerer all tilgang.

Anbefalte forholdsregler inkluderer:

Behandle sletting som et forsinket inneslutningstrinn
Planlegg for et midlertidig risikovindu – omtrent opptil 30 minutter – der en kompromittert nøkkel fortsatt kan fungere.

Overvåk logger og fakturering etter tilbakekalling
Uventede API-kall eller plutselige brukstopper kort tid etter sletting kan indikere fortsatt misbruk i propagasjonsvinduet.

Begrens API-nøkler der det er mulig
Google anbefaler å bruke begrensninger som tillatte henvisere, IP-adresser eller spesifikke API-er, slik at en lekket nøkkel har begrenset nytteverdi.

Roter og bytt legitimasjon
I stedet for å stole utelukkende på sletting, roter nøkler og oppdater tjenester til å bruke nygenerert legitimasjon så raskt som mulig.

Den bredere lærdommen for skysikkerhet

Oppdagelsen belyser en viktig operasjonell realitet i store distribuerte systemer: konfigurasjonsendringer, inkludert tilbakekalling av legitimasjon, propageres ofte gradvis snarere enn umiddelbart.

For utviklere og sikkerhetsteam er budskapet enkelt – "slettet" betyr ikke alltid "inaktiv umiddelbart." Forsvarsplaner bør ta høyde for korte propageringsforsinkelser når sensitiv legitimasjon tilbakekalles.