Minlərlə Google Cloud API Açarının Gemini Əlçatanlığı ilə Ekspozisiyası Kəşf Edilib

Minlərlə Google Cloud API Açarının Gemini Əlçatanlığı ilə Ekspozisiyası Kəşf Edilib

Aparılan yeni araşdırma nəticəsində məlum olub ki, adətən layihə identifikasiyası və faktura məqsədləri üçün istifadə olunan Google Cloud API açarları, həssas Gemini endpoint-lərinə daxil olmaq və özəl məlumatlara çıxış əldə etmək üçün sui-istifadə edilə bilər.

Kibertəhlükəsizlik şirkəti Truffle Security tərəfindən aparılan araşdırma, təxminən 3,000 Google API açarının (AIza prefiksi ilə müəyyən edilən) müştəri tərəfi kodunda yerləşdirildiyini və bu yolla həssas məlumatlara icazəsiz giriş üçün istifadə edilə biləcəyini aşkar edib. Bu açarlar Google ilə əlaqəli xidmətlər göstərmək üçün istifadə edilsə də, onların açıq şəkildə qalması ciddi təhlükəsizlik riskləri yaradır.

Zəifliyin Mexanizmi və Potensial Təhlükələr

API açarları, xidmətlər arasında autentifikasiya təmin edən rəqəmsal açarlardır. Normalda, bu açarlar yalnız müəyyən xidmətlər üçün məhdudlaşdırılmış icazələrə malik olmalıdır. Lakin bu halda, araşdırma göstərir ki, düzgün konfiqurasiya edilməmiş API açarları istifadəçinin şəxsi məlumatlarına və digər həssas resurslara Gemini vasitəsilə giriş əldə etmək üçün istifadə edilə bilər.

Bu kəşf, təşkilatlar və fərdi inkişaf etdiricilər üçün API açarlarının idarə edilməsi və konfiqurasiyası mövzusunda artan narahatlıqları bir daha gündəmə gətirir. Müştəri tərəfi kodunda açarların birbaşa yerləşdirilməsi, məlumatların sızması və icazəsiz giriş üçün geniş bir səth yaradır. Kibertəhlükəsizlik mütəxəssisləri, API açarlarının diqqətlə idarə edilməsini, lazım olduqda silinməsini və ən az imtiyaz prinsipinə əsaslanaraq yalnız zəruri icazələrlə təmin edilməsini tövsiyə edir.