Удаленные ключи Google Cloud живут еще 23 минуты

Исследователь Джо Леон из Aikido Security раскопал прекрасное: удаленные ключи API в GCP могут жить своей жизнью и пускать трафик до 23 минут после их физического уничтожения. Пока вы с облегчением выдыхаете, думая, что обрубили хакерам доступ, злоумышленники спокойно продолжают пылесосить ваши кэшированные диалоги в Gemini или выкачивать данные. При этом интерфейс корпорации добра честно и уверенно врет в лицо: "После удаления ключи больше нельзя использовать".

Когда безопасники принесли гуглу результаты тестов (где медианное время жизни ключа-зомби составило 16 минут), Гугл просто закрыл тикет с пометкой «Не будем исправлять». Для контекста: у AWS недавно нашли похожую задержку отзыва токенов, но там счет шел на четыре секунды, и Амазон проблему оперативно залатал.

🥸 Новости IT: 📱 Telegram | 📱 ВК | 📲 MAX