Sårbarheten med fördröjd återkallelse

Problemet beror på hur förändringar av inloggningsuppgifter sprids över Googles distribuerade infrastruktur. När en nyckel raderas återkallas den inte samtidigt på alla servrar som hanterar API-autentisering. Vissa system avvisar inloggningsuppgifterna snabbt, medan andra fortfarande kan acceptera dem tills raderingsuppdateringen når dem.

Aikido testade beteendet genom att upprepade gånger skicka autentiseringsförfrågningar efter att ha raderat nyskapade nycklar. Under tio försök fortsatte lyckad autentisering tills återkallelsen hade spridits fullt ut, vilket gav det observerade fönstret på 8–23 minuter med en median på cirka 16 minuter.

Detta innebär att en nyckel som verkar vara raderad i Googles Cloud-gränssnitt fortfarande kan fungera under en kort period på delar av plattformen.

Varför luckan skapar verklig risk

För organisationer som hanterar en läckt inloggningsuppgift är omedelbar återkallelse avgörande. Den fördröjning som Aikido avslöjat skapar en period där angripare kan fortsätta använda nyckeln även efter att försvarare tror att den har inaktiverats.

Om en angripare har en komprometterad nyckel inom det fönstret kan de fortfarande:

• Få åtkomst till aktiverade API:er som är kopplade till projektet
• Skicka ytterligare API-förfrågningar
• Generera oväntad molnanvändning eller faktureringsavgifter

Forskarna bekräftade beteendet med nycklar konfigurerade för Gemini och observerade samma fördröjda återkallelse för nycklar kopplade till andra Google Cloud-API:er som BigQuery och Google Maps. Sårbarheten är kopplad till API-nyckeltypen i sig, inte till en specifik tjänst.

Googles svar på rapporten

Enligt rapporter och Aikidos avslöjande behandlade Google initialt beteendet som en förväntad spridningsfördröjning i ett distribuerat system snarare än en kritisk säkerhetsbrist. Vissa rapporter säger att ärendet initialt stängdes som 'won't fix'.

Efter ytterligare granskning öppnades rapporten senare igen och klassificerades internt som en P0-bugg, vilket indikerar högsta prioritet för utredning.

Den bakomliggande tekniska orsaken – att återkallelseuppdateringar gradvis sprids över infrastrukturen – innebär att den exakta tidpunkten för återkallelse kan variera beroende på vilka bakomliggande system som behandlar en begäran.

Praktiska försiktighetsåtgärder för utvecklare och säkerhetsteam

Tills återkallelsebeteendet garanteras vara omedelbart bör säkerhetsteam anta att radering av en API-nyckel inte omedelbart blockerar all åtkomst.

Rekommenderade försiktighetsåtgärder inkluderar:

Behandla radering som ett försenat begränsningssteg
Planera för ett tillfälligt riskfönster – ungefär upp till 30 minuter – under vilket en komprometterad nyckel fortfarande kan fungera.

Övervaka loggar och fakturering efter återkallelse
Oväntade API-anrop eller plötsliga användningstoppar strax efter radering kan indikera fortsatt missbruk under spridningsfönstret.

Begränsa API-nycklar så mycket som möjligt
Google rekommenderar att tillämpa begränsningar som tillåtna referenter, IP-adresser eller specifika API:er så att en läckt nyckel har begränsad användbarhet.

Rotera och ersätt inloggningsuppgifter
Istället för att enbart förlita dig på radering, rotera nycklar och uppdatera tjänster för att använda nyskapade inloggningsuppgifter så snabbt som möjligt.

Den bredare läxan för molnsäkerhet

Upptäckten belyser en viktig operativ verklighet i stora distribuerade system: konfigurationsändringar, inklusive återkallelse av inloggningsuppgifter, sprids ofta gradvis snarare än omedelbart.

För utvecklare och säkerhetsteam är budskapet enkelt – 'raderad' betyder inte alltid 'omedelbart inaktiv'. Försvarsplaner bör ta hänsyn till korta spridningsfördröjningar närhelst känsliga inloggningsuppgifter återkallas.

Sårbarheten med fördröjd återkallelse

Problemet beror på hur förändringar av inloggningsuppgifter sprids över Googles distribuerade infrastruktur. När en nyckel raderas återkallas den inte samtidigt på alla servrar som hanterar API-autentisering. Vissa system avvisar inloggningsuppgifterna snabbt, medan andra fortfarande kan acceptera dem tills raderingsuppdateringen når dem.

Aikido testade beteendet genom att upprepade gånger skicka autentiseringsförfrågningar efter att ha raderat nyskapade nycklar. Under tio försök fortsatte lyckad autentisering tills återkallelsen hade spridits fullt ut, vilket gav det observerade fönstret på 8–23 minuter med en median på cirka 16 minuter.

Detta innebär att en nyckel som verkar vara raderad i Googles Cloud-gränssnitt fortfarande kan fungera under en kort period på delar av plattformen.

Varför luckan skapar verklig risk

För organisationer som hanterar en läckt inloggningsuppgift är omedelbar återkallelse avgörande. Den fördröjning som Aikido avslöjat skapar en period där angripare kan fortsätta använda nyckeln även efter att försvarare tror att den har inaktiverats.

Om en angripare har en komprometterad nyckel inom det fönstret kan de fortfarande:

• Få åtkomst till aktiverade API:er som är kopplade till projektet
• Skicka ytterligare API-förfrågningar
• Generera oväntad molnanvändning eller faktureringsavgifter

Forskarna bekräftade beteendet med nycklar konfigurerade för Gemini och observerade samma fördröjda återkallelse för nycklar kopplade till andra Google Cloud-API:er som BigQuery och Google Maps. Sårbarheten är kopplad till API-nyckeltypen i sig, inte till en specifik tjänst.

Googles svar på rapporten

Enligt rapporter och Aikidos avslöjande behandlade Google initialt beteendet som en förväntad spridningsfördröjning i ett distribuerat system snarare än en kritisk säkerhetsbrist. Vissa rapporter säger att ärendet initialt stängdes som 'won't fix'.

Efter ytterligare granskning öppnades rapporten senare igen och klassificerades internt som en P0-bugg, vilket indikerar högsta prioritet för utredning.

Den bakomliggande tekniska orsaken – att återkallelseuppdateringar gradvis sprids över infrastrukturen – innebär att den exakta tidpunkten för återkallelse kan variera beroende på vilka bakomliggande system som behandlar en begäran.

Praktiska försiktighetsåtgärder för utvecklare och säkerhetsteam

Tills återkallelsebeteendet garanteras vara omedelbart bör säkerhetsteam anta att radering av en API-nyckel inte omedelbart blockerar all åtkomst.

Rekommenderade försiktighetsåtgärder inkluderar:

Behandla radering som ett försenat begränsningssteg
Planera för ett tillfälligt riskfönster – ungefär upp till 30 minuter – under vilket en komprometterad nyckel fortfarande kan fungera.

Övervaka loggar och fakturering efter återkallelse
Oväntade API-anrop eller plötsliga användningstoppar strax efter radering kan indikera fortsatt missbruk under spridningsfönstret.

Begränsa API-nycklar så mycket som möjligt
Google rekommenderar att tillämpa begränsningar som tillåtna referenter, IP-adresser eller specifika API:er så att en läckt nyckel har begränsad användbarhet.

Rotera och ersätt inloggningsuppgifter
Istället för att enbart förlita dig på radering, rotera nycklar och uppdatera tjänster för att använda nyskapade inloggningsuppgifter så snabbt som möjligt.

Den bredare läxan för molnsäkerhet

Upptäckten belyser en viktig operativ verklighet i stora distribuerade system: konfigurationsändringar, inklusive återkallelse av inloggningsuppgifter, sprids ofta gradvis snarare än omedelbart.

För utvecklare och säkerhetsteam är budskapet enkelt – 'raderad' betyder inte alltid 'omedelbart inaktiv'. Försvarsplaner bör ta hänsyn till korta spridningsfördröjningar närhelst känsliga inloggningsuppgifter återkallas.