Google Maps/Cloud API (Application Programming Interface) sleutels die vroeger veilig konden worden gepubliceerd, kunnen nu in veel gevallen worden gebruikt als echte Gemini AI-inloggegevens. Dit betekent dat elke sleutel die in openbare JavaScript- of applicatiecode staat, aanvallers nu in staat stelt om via de API verbinding te maken met Gemini, toegang te krijgen tot gegevens of de rekening van iemand anders op te lopen.
Onderzoekers hebben ongeveer 2.800 actieve Google API-sleutels gevonden in openbare code die authenticatie bij Gemini mogelijk maken, waaronder sleutels van grote financiële instellingen, beveiligingsbedrijven, wervingsbureaus en zelfs Google zelf.
Historisch gezien werden Google Cloud API-sleutels voor diensten zoals Maps, YouTube , Firebase, enz. behandeld als niet-geheime factureringsidentificatiegegevens, en volgens de eigen richtlijnen van Google was het toegestaan om ze in te sluiten in client-side code.
Als we dit probleem vergelijken met het hergebruiken van uw wachtwoord op verschillende sites en platforms, zien we dat het gebruik van één enkele identificatiecode een loper kan worden voor meer waardevolle activa dan gebruikers of ontwikkelaars ooit hadden bedoeld.
Het belangrijkste verschil is waar de verantwoordelijkheid ligt. Bij hergebruik van wachtwoorden worden eindgebruikers expliciet gewaarschuwd. Elke dienst vraagt hen om unieke wachtwoorden te kiezen, en de beveiligingsgemeenschap hamert al jaren op deze boodschap. Als hetzelfde wachtwoord op drie sites wordt hergebruikt en één inbreuk ze allemaal compromitteert, komt het risico voort uit een beslissing van de gebruiker, zelfs als gemak de drijfveer voor die beslissing was.
Met Google API-sleutels volgden ontwikkelaars en beveiligingsteams de historische richtlijnen van Google dat deze sleutels slechts factureringsidentificaties waren die veilig waren voor blootstelling aan de klantzijde. Toen Gemini werd ingeschakeld, werkten die oude API-sleutels plotseling als echte authenticatiegegevens.
Vanuit het perspectief van een aanvaller betekent hergebruik van wachtwoorden dat je één gestolen inloggegeven van een zwakke site kunt gebruiken voor e-mail-, bank- of cloudaccounts met behulp van credential stuffing. De wijziging van Gemini betekent dat een sleutel die oorspronkelijk in ieders mentale model werd gezien als 'alleen voor Maps', nu ook werkt voor een AI-eindpunt dat mogelijk is gekoppeld aan documenten, agenda's of andere gevoelige workflows. Het kan ook worden misbruikt om iemands cloudbudget op grote schaal op te maken.
Hoe blijf ik veilig
Het verschil met dit geval van wat in feite hergebruik van wachtwoorden is, is dat het deze keer effectief in het ontwerp is ingebouwd in plaats van door gebruikers te zijn gekozen.
Het kernprobleem is dat Google één enkel API-sleutelformaat gebruikt voor twee fundamenteel verschillende doeleinden: openbare identificatie en gevoelige authenticatie. De Gemini API heeft een sleutelbeheerarchitectuur geërfd die voor een ander doel is gebouwd.
De onderzoekers zeggen dat Google het door hen gemelde probleem heeft erkend en zinvolle maatregelen heeft genomen, maar dat de oorzaak nog niet is verholpen.
Advies voor ontwikkelaars
Ontwikkelaars moeten controleren of Gemini (Generative Language API) is ingeschakeld voor hun projecten en alle API-sleutels in hun omgeving controleren om te bepalen of er sleutels openbaar zijn gemaakt. Indien dit het geval is, moeten ze deze onmiddellijk vervangen.
- Controleer elk Google Cloud Platform (GC-project) voor de Generative Language API. Ga naar de GCP-console, navigeer naar API's en services > Ingeschakelde API's en services en zoek naar de Generative Language API. Doe dit voor elk project in uw organisatie. Als deze niet is ingeschakeld, heeft u geen last van dit specifieke probleem.
- Als de Generative Language API is ingeschakeld, controleer dan uw API-sleutels. Ga naar API's en diensten > ReferentiesControleer de configuratie van elke API-sleutel. Je zoekt naar twee soorten sleutels:
- Toetsen met een waarschuwingspictogram, wat betekent dat ze zijn ingesteld op onbeperkt
- Sleutels die de Generative Language API expliciet vermelden in hun toegestane services
Met beide configuraties kan de sleutel toegang krijgen tot Gemini.
- Controleer of geen van deze sleutels openbaar is. Dit is een cruciale stap. Als u een sleutel met Gemini-toegang aantreft die is ingebed in JavaScript aan de clientzijde, is ingecheckt in een openbare repository of op een andere manier online is blootgesteld, dan heeft u een probleem. Begin eerst met uw oudste sleutels. Deze zijn waarschijnlijk openbaar ingezet onder de oude richtlijn dat API-sleutels veilig kunnen worden gedeeld, en hebben vervolgens met terugwerkende kracht Gemini-rechten gekregen toen iemand in uw team de API heeft ingeschakeld. Als u een blootgestelde sleutel aantreft, vervang deze dan.
Advies voor particulieren
Voor gewone gebruikers gaat het hier minder om sleutelbeheer en meer om het beveiligen van uw Google-account en voorzichtigheid met betrekking tot toegang door derden.
- Koppel Gemini alleen aan accounts of gegevensopslagplaatsen (Drive, Mail, Agenda, bedrijfssystemen) waarvan u het prima vindt dat ze via API bereikbaar zijn, en controleer regelmatig welke integraties en apps van derden toegang hebben tot uw Google-account.
- Bij het evalueren van apps die Gemini integreren (browser-extensies, SaaS-tools, mobiele apps), geef dan de voorkeur aan apps die Gemini-aanroepen doen vanuit hun backend in plaats van rechtstreeks vanuit uw browser.
- Als u Gemini via een Google Cloud-project gebruikt (bijvoorbeeld als u een intensieve gebruiker bent of het voor uw werk gebruikt), controleer dan de GCP-factureringsrapporten en gebruikslogboeken op ongebruikelijke Gemini-activiteit, met name pieken die niet overeenkomen met uw eigen gebruik.
We rapporteren niet alleen over privacy - we bieden u optie om er gebruik van te maken.
Privacy 's mogen nooit verder reiken dan een krantenkop. Houd uw online privacy uw door gebruik te maken van Malwarebytes Privacy VPN.
