Удалённые ключи Google API продолжают работать до 23 минут

Удаление API‑ключа в Google Cloud не всегда означает его мгновенную деактивацию. Исследователи из компании Aikido Security обнаружили, что даже после удаления ключ может продолжать успешно аутентифицировать запросы ещё несколько минут. Это создаёт короткое, но реальное окно, в котором скомпрометированные ключи могут использоваться злоумышленниками.

Во время тестирования выяснилось, что удалённые ключи оставались рабочими от 8 до 23 минут, при этом медианное время составляло примерно 16 минут, несмотря на то, что в интерфейсе Google Cloud они уже отображались как удалённые.

Почему ключи продолжают работать

Проблема связана с архитектурой распределённой инфраструктуры Google. Когда ключ удаляется, информация об этом не распространяется мгновенно на все серверы, которые проверяют API‑аутентификацию.

Некоторые системы начинают отклонять запросы почти сразу, тогда как другие могут продолжать принимать тот же ключ, пока обновление об удалении постепенно распространяется по всей инфраструктуре.

Исследователи проверили это экспериментально: они создавали новый API‑ключ, удаляли его и продолжали отправлять запросы на аутентификацию. В десяти испытаниях успешная аутентификация продолжалась до тех пор, пока процесс распространения удаления не завершался — что и дало окно 8–23 минуты.

Чем это опасно

При утечке API‑ключа скорость его отзыва критически важна. Обнаруженная задержка означает, что даже после удаления ключа злоумышленник может продолжать пользоваться им некоторое время, пока изменения не применятся везде.

Если атакующий обладает украденным ключом в этот момент, он потенциально может:

• обращаться к API, подключённым к проекту
• отправлять дополнительные запросы к сервисам
• генерировать неожиданную нагрузку и расходы на облачные сервисы

Тесты проводились на ключах с доступом к Gemini, но аналогичное поведение наблюдалось и для ключей, используемых с другими API Google Cloud, включая BigQuery и Google Maps. Это указывает на то, что проблема связана с самим типом учётных данных — API‑ключами — а не с конкретным сервисом.

Как отреагировал Google

По сообщениям исследователей, изначально Google классифицировал проблему как ожидаемую задержку распространения (propagation delay) в распределённой системе, а не как критическую уязвимость. В некоторых публикациях отмечается, что отчёт сначала закрыли со статусом «won’t fix».

Позднее ситуация была пересмотрена: отчёт вновь открыли и классифицировали как баг уровня P0, что означает высший приоритет для расследования внутри компании.

Причина задержки остаётся той же — постепенное распространение обновлений об отзыве ключа между компонентами инфраструктуры. Поэтому точный момент окончательной деактивации может зависеть от того, какой сервер обрабатывает конкретный запрос.

Что делать разработчикам и командам безопасности

Пока отзыв ключей не гарантированно мгновенный, организациям рекомендуется исходить из того, что удаление ключа не прекращает доступ сразу.

Основные меры предосторожности:

Считать удаление лишь частичной мерой
Закладывайте окно риска примерно до 30 минут, в течение которого ключ может всё ещё работать.

Следить за логами и расходами
Необычные запросы или резкий рост использования API сразу после удаления ключа могут указывать на его продолжение использования.

Ограничивать возможности ключей
Google рекомендует применять ограничения — например, разрешённые IP‑адреса, рефереры или конкретные API — чтобы утечка ключа имела минимальные последствия.

Ротировать учётные данные
Вместо того чтобы полагаться только на удаление, стоит быстро выпускать новые ключи и переводить сервисы на них.

Более широкий урок для облачной безопасности

Эта ситуация напоминает о важной особенности крупных распределённых систем: изменения конфигурации — включая отзыв учётных данных — часто распространяются постепенно, а не мгновенно.

Для разработчиков и специалистов по безопасности вывод простой: отметка «удалено» в интерфейсе не всегда означает, что доступ действительно прекращён в тот же момент.