Google Maps/Cloud API (Application Programming Interface)-Schlüssel, deren Veröffentlichung früher unbedenklich war, können nun in vielen Fällen als echte Gemini AI-Anmeldedaten verwendet werden. Das bedeutet, dass jeder Schlüssel, der sich in öffentlichem JavaScript- oder Anwendungscode befindet, Angreifern nun ermöglichen kann, sich über die API mit Gemini zu verbinden, auf Daten zuzugreifen oder die Rechnung eines anderen zu erhöhen.
Forscher fanden rund 2.800 aktive Google-API-Schlüssel in öffentlichem Code, die eine Authentifizierung bei Gemini ermöglichen, darunter Schlüssel von großen Finanz-, Sicherheits- und Personalvermittlungsunternehmen und sogar von Google selbst.
In der Vergangenheit wurden Google Cloud-API-Schlüssel für Dienste wie Maps, YouTube , Firebase usw. als nicht vertrauliche Abrechnungs-IDs behandelt, und die eigenen Richtlinien von Google erlaubten deren Einbettung in clientseitigen Code.
Wenn wir dieses Problem mit der Wiederverwendung Ihres Passworts auf verschiedenen Websites und Plattformen vergleichen, sehen wir, dass die Verwendung einer einzigen Kennung zu einem Generalschlüssel für wertvollere Ressourcen werden kann, als Nutzer oder Entwickler jemals beabsichtigt haben.
Der entscheidende Unterschied liegt darin, wo die Verantwortung liegt. Bei der Wiederverwendung von Passwörtern werden Endbenutzer ausdrücklich gewarnt. Jeder Dienst fordert sie auf, eindeutige Passwörter zu wählen, und die Sicherheitsgemeinschaft hat diese Botschaft seit Jahren immer wieder betont. Wenn dasselbe Passwort auf drei Websites wiederverwendet wird und eine Sicherheitsverletzung alle drei Websites gefährdet, geht das Risiko auf eine Entscheidung des Benutzers zurück, auch wenn diese Entscheidung aus Bequemlichkeit getroffen wurde.
Mit Google-API-Schlüsseln folgten Entwickler und Sicherheitsteams den bisherigen Empfehlungen von Google, wonach diese Schlüssel lediglich Abrechnungs-IDs waren, die auf Kundenseite sicher offengelegt werden konnten. Als Gemini aktiviert wurde, fungierten diese alten API-Schlüssel plötzlich als echte Authentifizierungsdaten.
Aus Sicht eines Angreifers bedeutet die Wiederverwendung von Passwörtern, dass Sie eine von einer schwachen Website gestohlene Anmeldeinformation verwenden und diese mithilfe von Credential Stuffing für E-Mail-, Bank- oder Cloud-Konten wiederverwenden können. Die Änderung bei Gemini bedeutet, dass ein Schlüssel, der ursprünglich in jedermanns mentalem Modell als „nur für Maps“ vorgesehen war, nun für einen KI-Endpunkt funktioniert, der möglicherweise mit Dokumenten, Kalendern oder anderen sensiblen Arbeitsabläufen verbunden ist. Er kann auch missbraucht werden, um das Cloud-Budget einer Person in großem Umfang aufzubrauchen.
Wie man sicher bleibt
Der Unterschied zu diesem Fall, bei dem es sich effektiv um die Wiederverwendung von Passwörtern handelt, besteht darin, dass dies diesmal effektiv vom Design her vorgesehen ist und nicht von den Benutzern gewählt wurde.
Das Kernproblem besteht darin, dass Google ein einziges API-Schlüsselformat für zwei grundlegend unterschiedliche Zwecke verwendet: öffentliche Identifizierung und sensible Authentifizierung. Die Gemini-API hat eine Schlüsselverwaltungsarchitektur übernommen, die für einen anderen Zweck entwickelt wurde.
Die Forscher sagen, dass Google das von ihnen gemeldete Problem erkannt und sinnvolle Maßnahmen ergriffen hat, aber die Ursache noch nicht behoben hat.
Hinweise für Entwickler
Entwickler sollten überprüfen, ob Gemini (Generative Language API) in ihren Projekten aktiviert ist, und alle API-Schlüssel in ihrer Umgebung überprüfen, um festzustellen, ob welche öffentlich zugänglich sind, und diese sofort austauschen.
- Überprüfen Sie jedes Google Cloud Platform (GC)-Projekt für die Generative Language API. Rufen Sie die GCP-Konsole auf, navigieren Sie zu „APIs & Services“ > „Enabled APIs & Services“ und suchen Sie nach der Generative Language API. Führen Sie diesen Vorgang für jedes Projekt in Ihrer Organisation durch. Wenn die API nicht aktiviert ist, sind Sie von diesem speziellen Problem nicht betroffen.
- Wenn die Generative Language API aktiviert ist, überprüfen Sie Ihre API-Schlüssel. Navigieren Sie zu APIs und Dienste > ReferenzenÜberprüfen Sie die Konfiguration jedes API-Schlüssels. Sie suchen nach zwei Arten von Schlüsseln:
- Schlüssel mit einem Warnsymbol, was bedeutet, dass sie uneingeschränkt eingestellt sind
- Schlüssel, die die Generative Language API ausdrücklich in ihren zulässigen Diensten auflisten
Beide Konfigurationen ermöglichen den Zugriff auf Gemini.
- Stellen Sie sicher, dass keiner dieser Schlüssel öffentlich ist. Dies ist ein entscheidender Schritt. Wenn Sie einen Schlüssel mit Gemini-Zugriff finden, der in clientseitigem JavaScript eingebettet, in einem öffentlichen Repository hinterlegt oder anderweitig online verfügbar ist, haben Sie ein Problem. Beginnen Sie mit Ihren ältesten Schlüsseln. Diese wurden höchstwahrscheinlich gemäß der alten Richtlinie, dass API-Schlüssel sicher geteilt werden können, öffentlich bereitgestellt und erhielten dann rückwirkend Gemini-Berechtigungen, als jemand aus Ihrem Team die API aktiviert hat. Wenn Sie einen offengelegten Schlüssel finden, rotieren Sie ihn.
Ratschläge für Einzelpersonen
Für normale Nutzer geht es hier weniger um die Verwaltung von Schlüsseln als vielmehr darum, Ihr Google-Konto gesichert zu halten und beim Zugriff durch Dritte Vorsicht walten zu lassen.
- Verbinden Sie Gemini nur mit Konten oder Datenspeichern (Drive, Mail, Kalender, Unternehmenssysteme), bei denen Sie damit einverstanden sind, dass sie über eine API erreichbar sind, und überprüfen Sie regelmäßig, welche Integrationen und Apps von Drittanbietern Zugriff auf Ihr Google-Konto haben.
- Bei der Bewertung von Apps, die Gemini integrieren (Browser-Erweiterungen, SaaS-Tools, mobile Apps), sollten Sie solche bevorzugen, die Gemini-Aufrufe über ihr Backend statt direkt über Ihren Browser ausführen.
- Wenn Sie Gemini über ein Google Cloud-Projekt nutzen (z. B. als Power-User oder für berufliche Zwecke), überprüfen Sie die GCP-Abrechnungsberichte und Nutzungsprotokolle auf ungewöhnliche Gemini-Aktivitäten, insbesondere auf Spitzenwerte, die nicht Ihrer eigenen Nutzung entsprechen.
Wir berichten nicht nur über den Datenschutz - wir bieten Ihnen auch die Möglichkeit, ihn zu nutzen.
Risiken für Privacy sollten nie über eine Schlagzeile hinausgehen. Schützen Sie Ihre Online-Privatsphäre mit Malwarebytes Privacy VPN.
