Google API Anahtarlarının Tehlikesi
Google API anahtarlarının, şirketlerin ve geliştiricilerin erişimine açık kodlarda yer alması, güvenlik açığına yol açarak özel verilere ulaşılmasını kolaylaştırmaktadır. Bu durum, siber güvenlik açısından ciddi bir tehdit oluşturmaktadır.
Saldırı Nasıl Çalışıyor?
Geliştiriciler, projelerinde harita gösterimi, YouTube entegrasyonu veya Firebase hizmetleri gibi fonksiyonları genişletmek için API anahtarlarını kullanabilirler. Ancak, Gemini asistanının tanıtılmasıyla birlikte, Google Cloud API anahtarları, Google’ın AI asistanına kimlik doğrulama yetkisi taşımaya başladı. TruffleSecurity araştırmacıları, web sayfalarını tararken 3,000 adet API anahtarının açık bir şekilde bulunduğunu tespit etti. Bu anahtarlar, saldırganların web sayfalarının kaynak kodundan kopya alarak Gemini API hizmeti aracılığıyla özel verilere erişim sağlamasına olanak tanımaktadır.
Etkilenen Sistemler
Söz konusu API anahtarları, kamuya açık JavaScript kodlarında yıllarca görünür durumda kalmıştır. CVE kodlarıyla belirlenmiş zafiyetler sonucunda, bu anahtarlar daha önce düşünülmediği kadar tehlikeli bir konuma gelmiştir. Araştırmalar, anahtarların bazı büyük finansal kurumlar, güvenlik şirketleri ve işe alım firmaları tarafından kullanıldığını ortaya koymuştur.
Çözüm ve Korunma
Google, durumu fark ettikten sonra sorun hakkında harekete geçti. Google, yapılan açıklamada, Gemini API’ye erişim sağlayan sızdırılan API anahtarlarının engelleneceğini ve proaktif bildirimlerin gönderileceğini duyurdu. Geliştiricilerin, projelerinde Gemini (Generative Language API)’nin etkin olup olmadığını kontrol etmeleri ve tüm API anahtarlarını gözden geçirerek açık anahtarları derhal değiştirmeleri gerekmektedir.
- API anahtarlarını gizli tutun ve paylaşılan kodda olduğu gibi açık bırakmamaya özen gösterin.
- TruffleHog gibi açık kaynaklı araçları kullanarak kod ve depolarınızdaki canlı, açık anahtarları tespit edin.
- Tüm API anahtarlarını düzenli olarak değiştirin ve sızdırılan anahtarları kullanımdan kaldırın.
Sonuç
Okuyucuların, kesinlikle yukarıda belirtilen adımları takip etmeleri önerilmektedir: API anahtarlarını hemen gözden geçirin, gerekirse kapatın, açık olan anahtarları değiştirin. Unutmayın, siber güvenlik sürekli bir dikkat ve güncelleme gerektirir.
