Видалені ключі Google Cloud API можуть працювати ще 23 хвилини
Дослідники Aikido Security виявили, що видалені ключі Google Cloud API можуть продовжувати автентифікацію запитів протягом 8–23 хвилин після видалення (медіана — близько 16 хвилин), створюючи тимчасове вікно для зловм... Затримка виникає через поступове поширення інформації про відкликання в розподіленій інфраструкт...
ОпублікувавВідредаговано за допомогою GPT-5.5Зображення створено за допомогою GPT Image 2
Дослідники Aikido Security виявили, що видалені ключі Google Cloud API можуть продовжувати автентифікацію запитів протягом 8–23 хвилин після видалення (медіана — близько 16 хвилин), створюючи тимчасове вікно для зловм...
Затримка виникає через поступове поширення інформації про відкликання в розподіленій інфраструктурі Google, а не через миттєве виконання.
Поки проблема не вирішена, організаціям слід вважати видалення ключа API неповним відкликанням і моніторити використання, регулярно змінювати ключі та застосовувати суворі обмеження.
What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requSecurity researchers found that deleted Google Cloud API keys may still authenticate requests for several minutes while revocation propagates across infrastructure.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requ. Article summary: Aikido Security reported that deleting a Google Cloud API key does not revoke it immediately: the key can still successfully authenticate requests for several minutes after deletion, creating a delayed-revocation window . Topic tags: general, documentation, general web, government, education. Reference image context from search candidates: Reference image 1: visual subject "CyberInsider covers the latest news in the cybersecurity and data privacy world. Deleted Google API keys remain valid for up to 23 minutes after revocation, potentially allowing at" source context "Google “Won’t Fix” API key staying active for 23 mins after deletion | CyberInsider" Reference
openai.com
Видалення ключа Google Cloud API не означає, що він негайно перестає працювати. Дослідники безпеки з компанії Aikido Security виявили, що після видалення ключ може продовжувати автентифікувати запити протягом кількох хвилин, створюючи невелике, але небезпечне вікно для зловживання викраденими обліковими даними.
Під час тестування дослідники спостерігали, що видалені ключі залишалися працездатними протягом 8–23 хвилин, причому медіана становила приблизно 16 хвилин, навіть якщо консоль Google Cloud уже показувала ключ як видалений.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Видалені ключі Google Cloud API можуть працювати ще 23 хвилини"?
Дослідники Aikido Security виявили, що видалені ключі Google Cloud API можуть продовжувати автентифікацію запитів протягом 8–23 хвилин після видалення (медіана — близько 16 хвилин), створюючи тимчасове вікно для зловм...
What are the key points to validate first?
Дослідники Aikido Security виявили, що видалені ключі Google Cloud API можуть продовжувати автентифікацію запитів протягом 8–23 хвилин після видалення (медіана — близько 16 хвилин), створюючи тимчасове вікно для зловм... Затримка виникає через поступове поширення інформації про відкликання в розподіленій інфраструктурі Google, а не через миттєве виконання.
What should I do next in practice?
Поки проблема не вирішена, організаціям слід вважати видалення ключа API неповним відкликанням і моніторити використання, регулярно змінювати ключі та застосовувати суворі обмеження.
Видалені ключі Google Cloud API можуть працювати ще 23 хвилини
Дослідники Aikido Security виявили, що видалені ключі Google Cloud API можуть продовжувати автентифікацію запитів протягом 8–23 хвилин після видалення (медіана — близько 16 хвилин), створюючи тимчасове вікно для зловм... Затримка виникає через поступове поширення інформації про відкликання в розподіленій інфраструкт...
ОпублікувавВідредаговано за допомогою GPT-5.5Зображення створено за допомогою GPT Image 2
Дослідники Aikido Security виявили, що видалені ключі Google Cloud API можуть продовжувати автентифікацію запитів протягом 8–23 хвилин після видалення (медіана — близько 16 хвилин), створюючи тимчасове вікно для зловм...
Затримка виникає через поступове поширення інформації про відкликання в розподіленій інфраструктурі Google, а не через миттєве виконання.
Поки проблема не вирішена, організаціям слід вважати видалення ключа API неповним відкликанням і моніторити використання, регулярно змінювати ключі та застосовувати суворі обмеження.
What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requSecurity researchers found that deleted Google Cloud API keys may still authenticate requests for several minutes while revocation propagates across infrastructure.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What security vulnerability did Aikido Security discover in Google Cloud API key deletion, how long can deleted keys still authenticate requ. Article summary: Aikido Security reported that deleting a Google Cloud API key does not revoke it immediately: the key can still successfully authenticate requests for several minutes after deletion, creating a delayed-revocation window . Topic tags: general, documentation, general web, government, education. Reference image context from search candidates: Reference image 1: visual subject "CyberInsider covers the latest news in the cybersecurity and data privacy world. Deleted Google API keys remain valid for up to 23 minutes after revocation, potentially allowing at" source context "Google “Won’t Fix” API key staying active for 23 mins after deletion | CyberInsider" Reference
openai.com
Видалення ключа Google Cloud API не означає, що він негайно перестає працювати. Дослідники безпеки з компанії Aikido Security виявили, що після видалення ключ може продовжувати автентифікувати запити протягом кількох хвилин, створюючи невелике, але небезпечне вікно для зловживання викраденими обліковими даними.
Під час тестування дослідники спостерігали, що видалені ключі залишалися працездатними протягом 8–23 хвилин, причому медіана становила приблизно 16 хвилин, навіть якщо консоль Google Cloud уже показувала ключ як видалений.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Видалені ключі Google Cloud API можуть працювати ще 23 хвилини"?
Дослідники Aikido Security виявили, що видалені ключі Google Cloud API можуть продовжувати автентифікацію запитів протягом 8–23 хвилин після видалення (медіана — близько 16 хвилин), створюючи тимчасове вікно для зловм...
What are the key points to validate first?
Дослідники Aikido Security виявили, що видалені ключі Google Cloud API можуть продовжувати автентифікацію запитів протягом 8–23 хвилин після видалення (медіана — близько 16 хвилин), створюючи тимчасове вікно для зловм... Затримка виникає через поступове поширення інформації про відкликання в розподіленій інфраструктурі Google, а не через миттєве виконання.
What should I do next in practice?
Поки проблема не вирішена, організаціям слід вважати видалення ключа API неповним відкликанням і моніторити використання, регулярно змінювати ключі та застосовувати суворі обмеження.
Проблема пов'язана з тим, як зміни облікових даних поширюються в розподіленій інфраструктурі Google. Коли ключ видаляється, відкликання не набуває чинності одночасно на всіх серверах, що обробляють автентифікацію API. Деякі системи блокують ключ швидко, інші ж можуть продовжувати його приймати, поки оновлення про видалення не дійде до них.
Aikido перевірила це, надсилаючи повторювані запити на автентифікацію після видалення новостворених ключів. Протягом десяти тестів успішна автентифікація тривала до завершення поширення інформації про відкликання, що й дало спостережуване вікно у 8–23 хвилини з медіаною близько 16 хвилин.
Отже, ключ, який в інтерфейсі Google Cloud позначено як видалений, може деякий час працювати на окремих частинах платформи.
Чому це вікно створює реальний ризик
Для організацій, які реагують на витік облікових даних, негайне відкликання є критично важливим. Затримка, виявлена Aikido, створює період, протягом якого зловмисники можуть продовжувати використовувати ключ, навіть після того, як захисники вважають його вже деактивованим.
Якщо зловмисник має скомпрометований ключ протягом цього вікна, він може:
Отримувати доступ до активованих API, прив'язаних до проєкту
Надсилати додаткові запити до API
Генерувати неочікувані витрати на хмарні ресурси або оплату
Дослідники підтвердили таку поведінку для ключів, налаштованих для Gemini, а також спостерігали аналогічну затримку відкликання для ключів, підключених до інших API Google Cloud, зокрема BigQuery і Google Maps. Вразливість пов'язана з самим типом облікових даних (ключем API), а не з конкретним сервісом.
Реакція Google на звіт
Згідно з повідомленнями та розкриттям Aikido, спочатку Google розцінив таку поведінку як очікувану затримку поширення в розподіленій системі, а не як критичну вразливість безпеки. Деякі джерела стверджують, що спочатку проблему закрили з позначкою «не виправляти» („won't fix“).
Після додаткового розгляду звіт було знову відкрито та класифіковано всередині Google як помилку рівня P0, що вказує на найвищий пріоритет для розслідування.
Основна технічна причина — поступове поширення оновлень про відкликання в інфраструктурі — означає, що точний час відкликання може варіюватися залежно від того, які внутрішні системи обробляють запит.
Практичні поради для розробників і команд безпеки
Доки поведінка відкликання не стане гарантовано миттєвою, командам безпеки слід виходити з того, що видалення ключа API не блокує миттєво весь доступ.
Рекомендовані заходи:
Ставтеся до видалення як до тимчасового заходу
Плануйте тимчасове вікно ризику — приблизно до 30 хвилин — протягом якого скомпрометований ключ може все ще працювати.
Моніторте журнали та виставлені рахунки після відкликання
Неочікувані виклики API або раптові сплески використання невдовзі після видалення можуть свідчити про продовження зловживання протягом вікна поширення.
Обмежуйте ключі API, де це можливо
Google рекомендує застосовувати обмеження, такі як дозволені реферери, IP-адреси або конкретні API, щоб викрадений ключ мав обмежену корисність.
Регулярно замінюйте облікові дані
Замість того, щоб покладатися лише на видалення, змінюйте ключі та якнайшвидше оновлюйте сервіси для використання нових облікових даних.
Загальний урок для хмарної безпеки
Це відкриття підкреслює важливу операційну реальність великих розподілених систем: зміни конфігурації, включно з відкликанням облікових даних, часто поширюються поступово, а не миттєво.
Для розробників і команд безпеки висновок простий — «видалено» не завжди означає «неактивно негайно». Плани дій у сфері безпеки повинні враховувати короткі затримки поширення щоразу, коли відкликаються чутливі облікові дані.
Проблема пов'язана з тим, як зміни облікових даних поширюються в розподіленій інфраструктурі Google. Коли ключ видаляється, відкликання не набуває чинності одночасно на всіх серверах, що обробляють автентифікацію API. Деякі системи блокують ключ швидко, інші ж можуть продовжувати його приймати, поки оновлення про видалення не дійде до них.
Aikido перевірила це, надсилаючи повторювані запити на автентифікацію після видалення новостворених ключів. Протягом десяти тестів успішна автентифікація тривала до завершення поширення інформації про відкликання, що й дало спостережуване вікно у 8–23 хвилини з медіаною близько 16 хвилин.
Отже, ключ, який в інтерфейсі Google Cloud позначено як видалений, може деякий час працювати на окремих частинах платформи.
Чому це вікно створює реальний ризик
Для організацій, які реагують на витік облікових даних, негайне відкликання є критично важливим. Затримка, виявлена Aikido, створює період, протягом якого зловмисники можуть продовжувати використовувати ключ, навіть після того, як захисники вважають його вже деактивованим.
Якщо зловмисник має скомпрометований ключ протягом цього вікна, він може:
Отримувати доступ до активованих API, прив'язаних до проєкту
Надсилати додаткові запити до API
Генерувати неочікувані витрати на хмарні ресурси або оплату
Дослідники підтвердили таку поведінку для ключів, налаштованих для Gemini, а також спостерігали аналогічну затримку відкликання для ключів, підключених до інших API Google Cloud, зокрема BigQuery і Google Maps. Вразливість пов'язана з самим типом облікових даних (ключем API), а не з конкретним сервісом.
Реакція Google на звіт
Згідно з повідомленнями та розкриттям Aikido, спочатку Google розцінив таку поведінку як очікувану затримку поширення в розподіленій системі, а не як критичну вразливість безпеки. Деякі джерела стверджують, що спочатку проблему закрили з позначкою «не виправляти» („won't fix“).
Після додаткового розгляду звіт було знову відкрито та класифіковано всередині Google як помилку рівня P0, що вказує на найвищий пріоритет для розслідування.
Основна технічна причина — поступове поширення оновлень про відкликання в інфраструктурі — означає, що точний час відкликання може варіюватися залежно від того, які внутрішні системи обробляють запит.
Практичні поради для розробників і команд безпеки
Доки поведінка відкликання не стане гарантовано миттєвою, командам безпеки слід виходити з того, що видалення ключа API не блокує миттєво весь доступ.
Рекомендовані заходи:
Ставтеся до видалення як до тимчасового заходу
Плануйте тимчасове вікно ризику — приблизно до 30 хвилин — протягом якого скомпрометований ключ може все ще працювати.
Моніторте журнали та виставлені рахунки після відкликання
Неочікувані виклики API або раптові сплески використання невдовзі після видалення можуть свідчити про продовження зловживання протягом вікна поширення.
Обмежуйте ключі API, де це можливо
Google рекомендує застосовувати обмеження, такі як дозволені реферери, IP-адреси або конкретні API, щоб викрадений ключ мав обмежену корисність.
Регулярно замінюйте облікові дані
Замість того, щоб покладатися лише на видалення, змінюйте ключі та якнайшвидше оновлюйте сервіси для використання нових облікових даних.
Загальний урок для хмарної безпеки
Це відкриття підкреслює важливу операційну реальність великих розподілених систем: зміни конфігурації, включно з відкликанням облікових даних, часто поширюються поступово, а не миттєво.
Для розробників і команд безпеки висновок простий — «видалено» не завжди означає «неактивно негайно». Плани дій у сфері безпеки повинні враховувати короткі затримки поширення щоразу, коли відкликаються чутливі облікові дані.
helpnetsecurity.comDeleted Google API keys keep working for up to 23 minutes, researchers warn - Help Net Security
gigazine.netResearchers have confirmed that leaked Google API keys may remain usable for approximately 23 minutes after deletion.
techradar.com'You have no way to revoke it faster or confirm when it stops working': Experts find Google API keys are still usable, even after you delete them
cyberinsider.comGoogle “Won't Fix” API key staying active for 23 mins after deletion