นักวิจัยจาก Aikido Security พบว่า Google Cloud API key ที่ถูกลบอาจยังใช้งานได้อีก 8–23 นาที (ค่ากลางประมาณ 16 นาที)
สาเหตุเกิดจากการกระจายข้อมูลการยกเลิกคีย์ในโครงสร้างพื้นฐานแบบ distributed ของ Google ที่ไม่เกิดขึ้นพร้อมกันทุกเซิร์ฟเวอร์
ช่วงเวลานี้เปิดโอกาสให้ผู้โจมตีใช้คีย์ที่รั่วไหลเรียกใช้ API เช่น Gemini, BigQuery หรือ Google Maps ต่อได้
ทีมพัฒนาและองค์กรควรเฝ้าตรวจสอบ log การใช้งาน หมุนเวียนคีย์ และจำกัดสิทธิ์ API key อย่างเข้มงวดจนกว่าปัญหาจะถูกแก้ไข
What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requSecurity researchers found that deleted Google Cloud API keys may still authenticate requests for several minutes while revocation propagates across infrastructure.
AI พรอมต์
Create a landscape editorial hero image for this Studio Global article: What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requ. Article summary: Aikido Security reported that deleting a Google Cloud API key does not revoke it immediately: the key can still successfully authenticate requests for several minutes after deletion, creating a delayed-revocation window . Topic tags: general, documentation, general web, government, education. Reference image context from search candidates: Reference image 1: visual subject "CyberInsider covers the latest news in the cybersecurity and data privacy world. Deleted Google API keys remain valid for up to 23 minutes after revocation, potentially allowing at" source context "Google “Won’t Fix” API key staying active for 23 mins after deletion | CyberInsider" Reference
openai.com
การลบ Google Cloud API key อาจไม่ได้ทำให้คีย์หยุดทำงานทันทีอย่างที่หลายคนคิด งานวิจัยจากบริษัทด้านความปลอดภัยไซเบอร์ Aikido Security พบว่าแม้ผู้ใช้จะลบคีย์จากคอนโซลของ Google Cloud แล้ว คีย์นั้นยังอาจใช้ยืนยันตัวตนกับ API ได้อีกระยะหนึ่ง ทำให้เกิดช่องว่างด้านความปลอดภัยชั่วคราว หากคีย์ดังกล่าวเคยรั่วไหลมาก่อน
นักวิจัยจาก Aikido Security พบว่า Google Cloud API key ที่ถูกลบอาจยังใช้งานได้อีก 8–23 นาที (ค่ากลางประมาณ 16 นาที)
สาเหตุเกิดจากการกระจายข้อมูลการยกเลิกคีย์ในโครงสร้างพื้นฐานแบบ distributed ของ Google ที่ไม่เกิดขึ้นพร้อมกันทุกเซิร์ฟเวอร์
ช่วงเวลานี้เปิดโอกาสให้ผู้โจมตีใช้คีย์ที่รั่วไหลเรียกใช้ API เช่น Gemini, BigQuery หรือ Google Maps ต่อได้
ทีมพัฒนาและองค์กรควรเฝ้าตรวจสอบ log การใช้งาน หมุนเวียนคีย์ และจำกัดสิทธิ์ API key อย่างเข้มงวดจนกว่าปัญหาจะถูกแก้ไข
What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requSecurity researchers found that deleted Google Cloud API keys may still authenticate requests for several minutes while revocation propagates across infrastructure.
AI พรอมต์
Create a landscape editorial hero image for this Studio Global article: What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requ. Article summary: Aikido Security reported that deleting a Google Cloud API key does not revoke it immediately: the key can still successfully authenticate requests for several minutes after deletion, creating a delayed-revocation window . Topic tags: general, documentation, general web, government, education. Reference image context from search candidates: Reference image 1: visual subject "CyberInsider covers the latest news in the cybersecurity and data privacy world. Deleted Google API keys remain valid for up to 23 minutes after revocation, potentially allowing at" source context "Google “Won’t Fix” API key staying active for 23 mins after deletion | CyberInsider" Reference
openai.com
การลบ Google Cloud API key อาจไม่ได้ทำให้คีย์หยุดทำงานทันทีอย่างที่หลายคนคิด งานวิจัยจากบริษัทด้านความปลอดภัยไซเบอร์ Aikido Security พบว่าแม้ผู้ใช้จะลบคีย์จากคอนโซลของ Google Cloud แล้ว คีย์นั้นยังอาจใช้ยืนยันตัวตนกับ API ได้อีกระยะหนึ่ง ทำให้เกิดช่องว่างด้านความปลอดภัยชั่วคราว หากคีย์ดังกล่าวเคยรั่วไหลมาก่อน
สาเหตุหลักเกิดจากลักษณะของโครงสร้างพื้นฐานของ Google ที่ทำงานแบบ distributed system กล่าวคือ เซิร์ฟเวอร์จำนวนมากทั่วโลกต้องรับทราบการเปลี่ยนแปลงเดียวกัน
เมื่อมีการลบ API key ข้อมูลการยกเลิกสิทธิ์จะถูกกระจายไปยังระบบต่าง ๆ ทีละขั้น ไม่ได้เกิดขึ้นพร้อมกันทั้งหมดทันที ดังนั้นบางเซิร์ฟเวอร์อาจปฏิเสธคีย์ภายในไม่กี่วินาที ในขณะที่บางระบบยังคงยอมรับคีย์เดิมจนกว่าการอัปเดตจะมาถึง
นักวิจัยระบุว่าการทดสอบใช้คีย์ที่เปิดสิทธิ์กับ Gemini และพบพฤติกรรมเดียวกันกับ API อื่นของ Google Cloud เช่น BigQuery และ Google Maps ซึ่งแสดงว่าปัญหานี้เกี่ยวข้องกับ ประเภท credential ของ API key เอง ไม่ได้จำกัดอยู่ที่บริการใดบริการหนึ่ง
การตอบสนองของ Google
ตามรายงานการเปิดเผยช่องโหว่ Google ในช่วงแรกมองว่าพฤติกรรมนี้เป็นเพียง propagation delay ซึ่งเป็นผลตามธรรมชาติของระบบแบบกระจาย มากกว่าจะเป็นช่องโหว่ด้านความปลอดภัย และรายงานถูกปิดในตอนแรกพร้อมคำอธิบายว่า "won’t fix"
ติดตาม log และค่าใช้จ่ายหลังการลบคีย์
หากพบคำขอ API หรือการใช้งานที่ผิดปกติทันทีหลังลบ อาจเป็นสัญญาณว่าคีย์ยังถูกใช้งานในช่วง propagation delay
จำกัดสิทธิ์ของ API key ให้มากที่สุด
Google แนะนำให้กำหนดข้อจำกัด เช่น IP address, referrer ของเว็บไซต์ หรือจำกัดเฉพาะ API ที่จำเป็น เพื่อลดความเสียหายหากคีย์รั่วไหล
สาเหตุหลักเกิดจากลักษณะของโครงสร้างพื้นฐานของ Google ที่ทำงานแบบ distributed system กล่าวคือ เซิร์ฟเวอร์จำนวนมากทั่วโลกต้องรับทราบการเปลี่ยนแปลงเดียวกัน
เมื่อมีการลบ API key ข้อมูลการยกเลิกสิทธิ์จะถูกกระจายไปยังระบบต่าง ๆ ทีละขั้น ไม่ได้เกิดขึ้นพร้อมกันทั้งหมดทันที ดังนั้นบางเซิร์ฟเวอร์อาจปฏิเสธคีย์ภายในไม่กี่วินาที ในขณะที่บางระบบยังคงยอมรับคีย์เดิมจนกว่าการอัปเดตจะมาถึง
นักวิจัยระบุว่าการทดสอบใช้คีย์ที่เปิดสิทธิ์กับ Gemini และพบพฤติกรรมเดียวกันกับ API อื่นของ Google Cloud เช่น BigQuery และ Google Maps ซึ่งแสดงว่าปัญหานี้เกี่ยวข้องกับ ประเภท credential ของ API key เอง ไม่ได้จำกัดอยู่ที่บริการใดบริการหนึ่ง
การตอบสนองของ Google
ตามรายงานการเปิดเผยช่องโหว่ Google ในช่วงแรกมองว่าพฤติกรรมนี้เป็นเพียง propagation delay ซึ่งเป็นผลตามธรรมชาติของระบบแบบกระจาย มากกว่าจะเป็นช่องโหว่ด้านความปลอดภัย และรายงานถูกปิดในตอนแรกพร้อมคำอธิบายว่า "won’t fix"
ติดตาม log และค่าใช้จ่ายหลังการลบคีย์
หากพบคำขอ API หรือการใช้งานที่ผิดปกติทันทีหลังลบ อาจเป็นสัญญาณว่าคีย์ยังถูกใช้งานในช่วง propagation delay
จำกัดสิทธิ์ของ API key ให้มากที่สุด
Google แนะนำให้กำหนดข้อจำกัด เช่น IP address, referrer ของเว็บไซต์ หรือจำกัดเฉพาะ API ที่จำเป็น เพื่อลดความเสียหายหากคีย์รั่วไหล
helpnetsecurity.comDeleted Google API keys keep working for up to 23 minutes, researchers warn - Help Net Security
gigazine.netResearchers have confirmed that leaked Google API keys may remain usable for approximately 23 minutes after deletion.
techradar.com'You have no way to revoke it faster or confirm when it stops working': Experts find Google API keys are still usable, even after you delete them
cyberinsider.comGoogle “Won't Fix” API key staying active for 23 mins after deletion