Se il tuo protocollo di sicurezza prevede l’eliminazione delle Google API key per bloccare l’accesso ad applicazioni cloud o servizi di terze parti, preparati a una notizia sorprendente: queste credenziali eliminate non smettono di funzionare immediatamente, creando una significativa falla di sicurezza che i criminali informatici potrebbero sfruttare.
“Eliminata” Non Significa “Scomparsa”
La maggior parte delle persone considera l’eliminazione di una API key come un interruttore di emergenza capace di interrompere immediatamente ogni accesso. Ci si aspetta che, una volta cancellata una chiave compromessa o esposta, l’accesso venga bloccato all’istante.
Tuttavia, i ricercatori di Aikido Security hanno recentemente scoperto che, dopo essere stata eliminata tramite la Google Cloud Console, una Google API key può continuare ad autenticarsi con successo per un periodo che può arrivare fino a 23 minuti.
Questo ritardo nella revoca delle Google API key significa che i team di sicurezza devono ora tenere conto di un intervallo temporale difficile da misurare con precisione. Se la tua azienda si affida alla rotazione rapida delle credenziali come parte delle procedure di risposta agli incidenti, questa scoperta potrebbe richiedere una revisione delle strategie adottate.
Perché Succede E Quali Sono I Rischi Reali Per La Sicurezza
Le API key rappresentano un elemento fondamentale per la sicurezza dei servizi cloud. Vengono utilizzate per numerose attività, tra cui la connessione tra applicazioni e l’accesso ai dati.
Ecco perché scoprire che le Google API key continuano a funzionare dopo la cancellazione è così preoccupante. Il reparto IT potrebbe ritenere che il rischio associato a credenziali compromesse sia stato eliminato, quando in realtà queste potrebbero rimanere operative proprio durante la fase più critica della gestione dell’incidente.
Il problema sembra essere legato alla propagazione delle informazioni nelle cache di autenticazione e all’architettura distribuita del cloud. In ambienti cloud di grandi dimensioni, le modifiche non vengono applicate istantaneamente a tutti i sistemi. Alcuni nodi riconoscono immediatamente la cancellazione, mentre altri impiegano più tempo ad aggiornarsi. Questa latenza nell’invalidazione delle API key fa sì che alcuni sistemi continuino ad accettare la chiave, mentre altri l’hanno già contrassegnata come non valida.
La situazione è aggravata dal fatto che gli amministratori hanno poche possibilità di intervento e che Google non fornisce una conferma precisa del momento in cui la finestra di autenticazione si chiude effettivamente. Questa incertezza rende la gestione del ciclo di vita delle API key nel cloud molto più complessa. Se una chiave viene compromessa e poi eliminata, 23 minuti possono essere più che sufficienti per consentire a un attaccante di causare danni significativi.
Come Ridurre Il Rischio
Anche se Google non ha ancora annunciato una soluzione definitiva, è possibile limitare i rischi associati alle Google API key che rimangono attive dopo la cancellazione adottando alcune buone pratiche:
- Cambia Le Chiavi In Modo Proattivo: Cambiare chiavi periodicamente riduce il valore di una chiave compromessa. Non aspettare che si verifichi una violazione per sostituirla.
- Limita Al Massimo I Permessi: Più sono restrittivi i privilegi associati a una API key, minori saranno i potenziali danni in caso di abuso.
- Monitora L’Utilizzo Delle API In Tempo Reale: Qualsiasi attività sospetta rilevata dopo la cancellazione di una chiave dovrebbe generare immediatamente un avviso e un’indagine approfondita.
- Considera Sempre La Finestra Di Ritardo: I piani di risposta agli incidenti dovrebbero prevedere la possibilità che una chiave eliminata continui a funzionare per un massimo di 23 minuti.
Il Quadro Più Ampio Della Sicurezza Cloud
Ventitré minuti possono sembrare pochi, ma nel mondo della cybersecurity rappresentano un’eternità. Il fatto che le Google API key continuino a funzionare dopo la cancellazione dimostra che i controlli di sicurezza nel cloud non sempre si comportano come ci si aspetta. Un messaggio di conferma o una spunta verde non equivalgono necessariamente a un’applicazione immediata delle modifiche.
Fino a quando Google non introdurrà una correzione, è consigliabile considerare la revoca delle API key come un processo non istantaneo e pianificare le procedure di sicurezza tenendo conto di questo intervallo temporale.
