Google API Keys Weren't Secrets. But then Gemini Changed the Rules
好的,我现在需要帮用户总结一篇文章的内容,控制在100字以内。用户提供的文章内容很长,主要讨论的是Google API密钥的安全问题,特别是Gemini API的引入导致的问题。
首先,我需要通读文章,抓住主要点。文章指出Google过去告诉开发者API密钥不是秘密,但现在Gemini API可以使用这些密钥访问私人数据。他们扫描了数百万网站,发现了近3000个这样的密钥。攻击者可以用这些密钥访问文件、缓存数据,并产生费用。
接下来,核心问题在于Google Cloud使用同一格式的API密钥用于公开标识和敏感认证。启用Gemini API后,旧的API密钥会自动获得敏感权限,而开发者没有收到任何警告。此外,默认情况下新创建的API密钥是不受限制的,这增加了风险。
攻击者只需从网页中获取密钥就能进行攻击,受害者包括大公司甚至Google自己。Google已经采取了一些措施来修复问题,但用户需要检查自己的项目是否受到影响,并采取相应的安全措施。
现在我需要将这些信息浓缩到100字以内。重点包括:Google过去认为API密钥不敏感,但现在Gemini导致它们成为敏感信息;发现了近3000个暴露的密钥;攻击者可以利用这些密钥进行多种攻击;问题在于默认设置和权限升级;以及建议用户检查和保护自己的API密钥。
最后,确保语言简洁明了,避免使用复杂的术语或结构。
Google过去认为API密钥(如Maps、Firebase)非敏感信息,但随着Gemini API引入,这些密钥可被用于访问私人数据。研究发现2863个暴露在公网的API密钥可被滥用访问文件、缓存内容并产生费用。问题源于Google Cloud默认将同一格式的API密钥用于公开标识和敏感认证,默认设置使新创建的API密钥立即生效且未提示权限变化。开发者需检查项目中是否启用了Generative Language API,并审计现有API密钥是否暴露于公网。