- Aikidoの研究者がGoogleのAPIキーは削除後最大23分間使用可能なままであることを発見
- 成功率は試験によって異なり、Geminiが有効になっているプロジェクトは盗まれたファイルとキャッシュされた会話に特に脆弱
- Googleは問題を伝播遅延として却下していますが、Aikidoは削除を30分のウィンドウとして扱い、予期しない使用を監視することを勧告しています
GoogleのAPIキーを削除する際、それが直ちに機能しなくなることを期待している場合、残念ながら意外なことをお伝えします。
Aikidoの研究者は削除後最大23分間認証に成功することができることを発見しました。これは巨大なセキュリティリスクと脅威行為者にとって大きな機会を生み出しています。
最悪の部分は、ユーザーは認証ウィンドウがいつ閉じるのかを知る方法がほぼなく、それを高速化するために何もできないということです。
「虚偽の陳述」
レポートで、Aikidoは2日間に10回の試験を実施し、APIキーを作成・削除しながら秒間3〜5回の認証済みリクエストを送信して、取り消しウィンドウを測定したと説明しました。
彼らが見つけたものは非常に矛盾していました。最長のウィンドウは23分でしたが、最短のウィンドウは8分でした。
チームはまた、成功率が予測不可能であったと述べました。1つの試験では削除後1分で79％のリクエストが成功したのに対し、別の試験では5％でした。Geminiが有効になっているプロジェクトではこの問題はさらに悪化します。Aikidoはさらに強調しました。脅威行為者は「削除された」キーを使用して、アップロードされたファイルをダンプし、キャッシュされた会話を比較的簡単に流出させることができます。
レポートは、ユーザーインターフェースがユーザーに誤解を招くとして非難しました。削除したキーに関して「一度削除されると、APIリクエストを行うために使用することができなくなります」と表示されます。
「その声明は明らかに虚偽です」とAikidoは述べました。「ユーザーはキーがまだ動作しているかどうかを知る方法がなく、取り消しを高速化する方法がなく、完全に機能を停止したかどうかを確認する方法がありません。」
Googleはひどい開示に対してレポートを閉じることで対応し、それを修正しないと述べました。「チームの立場は、伝播遅延はシステムの既知の特性であり、セキュリティ問題ではないというものです」とレポートは述べています。
修正方法や回避策はないかもしれませんが、Aikidoは軽減策について議論しています。キーの削除は30分間の操作として扱われるべきであり、そのウィンドウの間、ユーザーはGCPコンソールで「有効なAPIとサービス」を監視して、削除された認証情報からの予期しない使用を確認する必要があります。
