Тысячи公开ских ключей Google Cloud API подверглись утечке после активации API

Введение: Обычно ключи Google Cloud API используются в качестве идентификаторов проектов для учета целей. Однако исследователи из Truffle Security обнаружили, что эти ключи могут быть использованы для аутентификации в чувствительных endpoint Gemini и доступа к конфиденциальным данным. Это может привести к серьезным последствиям, включая кражу данных и нарушение безопасности.

Подробности

Исследователи обнаружили, что почти 3 000 ключей Google API (идентифицируемых по префиксу "AIza") встроены в клиентский код для предоставления услуг Google. Эти ключи могут быть использованы для аутентификации в Gemini и доступа к конфиденциальным данным. Это подчеркивает важность правильной защиты ключей API и безопасного кодирования.

Что делать

Чтобы избежать подобных угроз, пользователям рекомендуется принять меры для защиты своих ключей API. Это включает в себя использование безопасных методов хранения ключей, таких как безопасные менеджеры секретов, и регулярную ротацию ключей. Кроме того, пользователи должны следовать принципам наименьших привилегий и обеспечивать, чтобы ключи API имели доступ только к необходимым ресурсам. Итог: Пользователям Google Cloud API следует принять немедленные меры для защиты своих ключей и данных от потенциальных угроз. Для этого необходимо следовать рекомендациям по безопасности и регулярно проверять свои ключи API на наличие уязвимостей.

Источник: The Hacker News