Gecikmeli iptal açığı

Sorun, kimlik bilgisi değişikliklerinin Google'ın dağıtık altyapısında nasıl yayıldığıyla ilgili. Bir anahtar silindiğinde, iptal işlemi API kimlik doğrulamasını yöneten tüm sunucularda aynı anda uygulanmıyor. Bazı sistemler kimlik bilgisini hızla reddederken, diğerleri güncelleme onlara ulaşana kadar kabul etmeye devam ediyor.

Aikido, yeni oluşturulan anahtarları silip sürekli kimlik doğrulama isteği göndererek bu davranışı test etti. On denemede, başarılı kimlik doğrulama, iptal yayılana kadar devam etti ve 8–23 dakikalık pencere ile yaklaşık 16 dakikalık bir medyan değeri ortaya çıktı.

Bu, Google Cloud arayüzünde silinmiş görünen bir anahtarın, platformun bazı bölümlerinde kısa bir süre daha çalışabileceği anlamına geliyor.

Risk neden gerçek?

Sızdırılmış bir kimlik bilgisine yanıt veren kuruluşlar için anında iptal kritik öneme sahiptir. Aikido'nun ortaya çıkardığı gecikme, savunmacılar anahtarı devre dışı bıraktıklarına inansa bile saldırganların bu anahtarı kullanmaya devam edebileceği bir dönem yaratıyor.

Eğer bir saldırgan bu pencerede ele geçirilmiş bir anahtara sahipse, şunları yapmaya devam edebilir:

• Projeye bağlı etkin API'lere erişmek
• Ek API istekleri göndermek
• Beklenmeyen bulut kullanımı veya fatura masrafları oluşturmak

Araştırmacılar, bu davranışı Gemini için yapılandırılmış anahtarlarla test etti ve aynı gecikmeli iptali BigQuery ve Google Maps gibi diğer Google Cloud API'lerine bağlı anahtarlarda da gözlemledi. Açık, belirli bir hizmetten ziyade API anahtarı kimlik bilgisi türünün kendisiyle ilgili.

Google'ın rapora yanıtı

Raporlara ve Aikido'nun açıklamasına göre, Google başlangıçta bu davranışı dağıtık bir sistemde beklenen bir yayılma gecikmesi olarak değerlendirdi ve kritik bir güvenlik açığı olarak görmedi. Bazı raporlar, sorunun ilk olarak "düzeltilmeyecek" olarak kapatıldığını belirtiyor.

Daha sonraki incelemelerin ardından rapor yeniden açıldı ve Google tarafından dahili olarak P0 hatası olarak sınıflandırıldı; bu, soruşturma için en yüksek önceliği gösteriyor.

Altta yatan teknik nedenin (iptal güncellemelerinin altyapıda kademeli olarak yayılması), iptal süresinin bir isteği hangi arka uç sisteminin işlediğine bağlı olarak değişebileceği anlamına geliyor.

Geliştiriciler ve güvenlik ekipleri için pratik önlemler

İptal davranışının anında gerçekleşeceği garanti edilene kadar, güvenlik ekipleri bir API anahtarını silmenin tüm erişimi anında engellemediğini varsaymalıdır.

Önerilen önlemler:

Silme işlemini gecikmeli bir önlem olarak ele alın
Tehlikedeki bir anahtarın hâlâ çalışabileceği yaklaşık 30 dakikalık geçici bir risk penceresi planlayın.

İptalden sonra günlükleri ve faturalandırmayı izleyin
Silme işleminden hemen sonra beklenmeyen API çağrıları veya ani kullanım artışları, yayılma penceresi sırasında kötüye kullanımın devam ettiğini gösterebilir.

API anahtarlarını mümkün olduğunca kısıtlayın
Google, sızdırılmış bir anahtarın kullanışlılığını sınırlamak için izin verilen yönlendirenler, IP adresleri veya belirli API'ler gibi kısıtlamaların uygulanmasını öneriyor.

Kimlik bilgilerini döndürün ve değiştirin
Yalnızca silmeye güvenmek yerine, anahtarları döndürün ve hizmetleri mümkün olan en kısa sürede yeni oluşturulan kimlik bilgilerini kullanacak şekilde güncelleyin.

Bulut güvenliği için daha geniş ders

Bu keşif, büyük dağıtık sistemlerin önemli bir operasyonel gerçeğini vurguluyor: kimlik bilgisi iptali de dahil olmak üzere yapılandırma değişiklikleri genellikle anında değil, kademeli olarak yayılır.

Geliştiriciler ve güvenlik ekipleri için çıkarılacak ders basit: "silindi" her zaman "hemen devre dışı" anlamına gelmez. Hassas kimlik bilgileri iptal edildiğinde, savunma planları kısa yayılma gecikmelerini hesaba katmalıdır.

Gecikmeli iptal açığı

Sorun, kimlik bilgisi değişikliklerinin Google'ın dağıtık altyapısında nasıl yayıldığıyla ilgili. Bir anahtar silindiğinde, iptal işlemi API kimlik doğrulamasını yöneten tüm sunucularda aynı anda uygulanmıyor. Bazı sistemler kimlik bilgisini hızla reddederken, diğerleri güncelleme onlara ulaşana kadar kabul etmeye devam ediyor.

Aikido, yeni oluşturulan anahtarları silip sürekli kimlik doğrulama isteği göndererek bu davranışı test etti. On denemede, başarılı kimlik doğrulama, iptal yayılana kadar devam etti ve 8–23 dakikalık pencere ile yaklaşık 16 dakikalık bir medyan değeri ortaya çıktı.

Bu, Google Cloud arayüzünde silinmiş görünen bir anahtarın, platformun bazı bölümlerinde kısa bir süre daha çalışabileceği anlamına geliyor.

Risk neden gerçek?

Sızdırılmış bir kimlik bilgisine yanıt veren kuruluşlar için anında iptal kritik öneme sahiptir. Aikido'nun ortaya çıkardığı gecikme, savunmacılar anahtarı devre dışı bıraktıklarına inansa bile saldırganların bu anahtarı kullanmaya devam edebileceği bir dönem yaratıyor.

Eğer bir saldırgan bu pencerede ele geçirilmiş bir anahtara sahipse, şunları yapmaya devam edebilir:

• Projeye bağlı etkin API'lere erişmek
• Ek API istekleri göndermek
• Beklenmeyen bulut kullanımı veya fatura masrafları oluşturmak

Araştırmacılar, bu davranışı Gemini için yapılandırılmış anahtarlarla test etti ve aynı gecikmeli iptali BigQuery ve Google Maps gibi diğer Google Cloud API'lerine bağlı anahtarlarda da gözlemledi. Açık, belirli bir hizmetten ziyade API anahtarı kimlik bilgisi türünün kendisiyle ilgili.

Google'ın rapora yanıtı

Raporlara ve Aikido'nun açıklamasına göre, Google başlangıçta bu davranışı dağıtık bir sistemde beklenen bir yayılma gecikmesi olarak değerlendirdi ve kritik bir güvenlik açığı olarak görmedi. Bazı raporlar, sorunun ilk olarak "düzeltilmeyecek" olarak kapatıldığını belirtiyor.

Daha sonraki incelemelerin ardından rapor yeniden açıldı ve Google tarafından dahili olarak P0 hatası olarak sınıflandırıldı; bu, soruşturma için en yüksek önceliği gösteriyor.

Altta yatan teknik nedenin (iptal güncellemelerinin altyapıda kademeli olarak yayılması), iptal süresinin bir isteği hangi arka uç sisteminin işlediğine bağlı olarak değişebileceği anlamına geliyor.

Geliştiriciler ve güvenlik ekipleri için pratik önlemler

İptal davranışının anında gerçekleşeceği garanti edilene kadar, güvenlik ekipleri bir API anahtarını silmenin tüm erişimi anında engellemediğini varsaymalıdır.

Önerilen önlemler:

Silme işlemini gecikmeli bir önlem olarak ele alın
Tehlikedeki bir anahtarın hâlâ çalışabileceği yaklaşık 30 dakikalık geçici bir risk penceresi planlayın.

İptalden sonra günlükleri ve faturalandırmayı izleyin
Silme işleminden hemen sonra beklenmeyen API çağrıları veya ani kullanım artışları, yayılma penceresi sırasında kötüye kullanımın devam ettiğini gösterebilir.

API anahtarlarını mümkün olduğunca kısıtlayın
Google, sızdırılmış bir anahtarın kullanışlılığını sınırlamak için izin verilen yönlendirenler, IP adresleri veya belirli API'ler gibi kısıtlamaların uygulanmasını öneriyor.

Kimlik bilgilerini döndürün ve değiştirin
Yalnızca silmeye güvenmek yerine, anahtarları döndürün ve hizmetleri mümkün olan en kısa sürede yeni oluşturulan kimlik bilgilerini kullanacak şekilde güncelleyin.

Bulut güvenliği için daha geniş ders

Bu keşif, büyük dağıtık sistemlerin önemli bir operasyonel gerçeğini vurguluyor: kimlik bilgisi iptali de dahil olmak üzere yapılandırma değişiklikleri genellikle anında değil, kademeli olarak yayılır.

Geliştiriciler ve güvenlik ekipleri için çıkarılacak ders basit: "silindi" her zaman "hemen devre dışı" anlamına gelmez. Hassas kimlik bilgileri iptal edildiğinde, savunma planları kısa yayılma gecikmelerini hesaba katmalıdır.