'삭제한 후에도 여전히 사용할 수 있는 Google API 키'

• Aikido 연구진, Google API 키를 삭제한 뒤에도 최대 23분 동안 계속 사용할 수 있음을 확인

• 실험마다 성공률 편차가 컸고, 특히 Gemini가 활성화된 프로젝트는 탈취된 파일과 캐시된 대화가 더 취약

• Google은 이를 전파 지연으로 보고 수정하지 않겠다고 했지만, Aikido는 삭제를 30분짜리 작업으로 간주하고 예상치 못한 사용 흔적을 모니터링하라고 권고

• Google API 키를 삭제하면 즉시 무효화된다고 기대하기 쉽지만, 실제로는 그렇지 않음

  • Aikido 연구진이 확인한 내용에 따르면, 삭제 후에도 사용자가 최대 23분 동안 인증에 성공 가능

  • 보안상 큰 위험이자 위협 행위자에게는 상당한 기회가 되는 셈

• 더 큰 문제는 인증 가능 시간이 언제 끝나는지 사용자가 거의 알 수 없고, 그 시점을 앞당길 방법도 전혀 없다는 점

사실과 다른 안내 문구

• Aikido는 이 보고서에서 이틀 동안 10차례 실험을 진행

  • API 키를 만들고 삭제하는 과정을 반복하면서, 초당 3~5개의 인증 요청을 보내 무효화까지 걸리는 시간을 측정

  • 가장 긴 유효 시간은 23분, 가장 짧은 경우는 8분

• 성공률도 매우 들쭉날쭉했음

  • 어떤 실험에서는 삭제 1분 뒤에도 요청의 79%가 성공

  • 다른 실험에서는 같은 시점 성공률이 5%에 그침

• Gemini가 활성화된 프로젝트에서는 문제가 더 심각하다고 Aikido는 강조

  • 위협 행위자가 이미 "삭제된" 키로 업로드된 파일을 덤프하고, 캐시된 대화를 비교적 쉽게 외부로 빼낼 수 있음

• 보고서는 Google의 사용자 인터페이스가 오해를 부른다고 비판

  • 키를 삭제한 사용자에게 "삭제되면 더 이상 API 요청에 사용할 수 없습니다"라고 안내하기 때문

  • Aikido는 이 문구를 두고 "사실로 입증 가능하게 틀린 말"이라고 지적

  • "사용자는 그 키가 아직 살아 있는지 알 방법도 없고, 무효화를 더 빠르게 만들 방법도 없고, 완전히 멈췄는지 확인할 방법도 없다"고 밝힘

• Google은 Aikido의 제보에 대해 보고서를 종료 처리했고, 수정하지 않겠다고 답변

  • 보고서에 따르면 Google 측 입장은, 전파 지연은 시스템의 알려진 특성이며 보안 문제가 아니라는 것

• 뚜렷한 수정책이나 우회책은 없을 수 있지만, Aikido는 완화 방안을 제시

  • 키 삭제를 30분이 걸리는 작업으로 취급할 것

  • 그 시간 동안 GCP 콘솔의 "Enabled APIs and services"에서 삭제된 자격 증명으로 인한 예상 밖 사용 흔적을 모니터링할 것

^{source techradar}