Удалили Google API-ключ? Плохие новости: он может жить ещё 23 минуты

Удалили Google API-ключ? Плохие новости: он может жить ещё 23 минуты

Удалили Google API-ключ? Плохие новости: он может жить ещё 23 минуты

Исследователи из Aikido обнаружили неприятную особенность Google API-ключей: после удаления они могут продолжать работать до 23 минут. Сценарий простой. Ключ утёк, разработчик в панике бежит его удалять, выдыхает — вроде всё, опасность миновала. Но нет.

По данным Aikido, удаление ключа распространяется по инфраструктуре Google не мгновенно: одни серверы начинают отклонять запросы почти сразу, другие продолжают принимать их ещё десятки минут.

В тестах исследователи создавали API-ключ, удаляли его и затем отправляли по 3-5 авторизованных запросов в секунду, пока ответы не переставали проходить. Среднее окно составляло около 16 минут, максимум — почти 23 минуты. В отдельные минуты более 90% запросов всё ещё успешно проходили.

Если у ключа был доступ к Gemini, злоумышленник за это время может не только накрутить счёт за использование моделей, но и вытащить загруженные файлы или закешированный контекст.

Проблема особенно болезненна на фоне новой биллинговой политики Google. Как пишет The Register, у некоторых пользователей лимиты расходов могут автоматически подниматься: например, с 250 до 100 тыс. долларов, если аккаунт старше 30 дней и уже потратил больше 1 тыс. долларов за всё время.

СМИ уже писали о случаях, когда украденные Google API-ключи приводили к пятизначным счетам за считаные минуты. В трёх известных случаях Google вернула разработчикам в общей сложности 154 тыс. долларов, но это, мягко говоря, не тот пользовательский опыт, который хочется повторять.

Самое весёлое — Google, по словам Aikido, не планирует исправлять 23-минутное окно. Компания закрыла отчёт как «Won’t Fix», объяснив, что задержка из-за распространения удаления ключей работает как задумано. Отличная формулировка; ключ уже удалён, деньги ещё списываются, всё по плану.

Подпишитесь на новости

ТризТех замахнулся на 20% рынка NGFW и всю российскую сетёвку

ТризТех планирует уже по итогам 2026 года занять 15-20% российского рынка межсетевых экранов нового поколения. В деньгах вендора это более 7,5 млрд рублей. Амбиции скромностью не страдают. Судя по анонсам компании, одним NGFW дело вообще не ограничится.

Планы раскрыл генеральный директор ТризТех Денис Кораблёв на первой большой конференции компании «День ТризТех: звезда родилась».

По представленной оценке, российский рынок NGFW в деньгах заказчиков вырастет с 60,5 млрд рублей в 2025 году до 70,5 млрд в 2026-м, а к 2030 году может достичь 146,3 млрд рублей.

 

В компании считают, что период бешеного импортозамещения заканчивается. Если в 2024 году на рынке насчитывалось 30-40 производителей NGFW, то сейчас, по оценке ТризТех, осталось менее семи реальных продуктов.

 

Покупатели, по мнению компании, переходят от срочной замены зарубежных решений и неработающих российских аналогов к осознанному выбору. Сам PT NGFW в 2027 году должен получить поддержку ГОСТ VPN.

Но компания метит заметно шире привычного периметра: ТризТех разрабатывает собственные коммутаторы — от кампусного уровня до дата-центров, Wi-Fi-роутеры, а также ADC/L7-балансировщики.

 

Рынок балансировки приложений компания оценивает примерно в 15 млрд рублей. До 2022 года он практически полностью принадлежал зарубежным поставщикам, а теперь на нём присутствуют шесть-семь российских решений.

Правда, в ТризТех утверждают, что лишь единицы написали продукт с нуля, остальные допиливают и продают Open Source, а некоторые заказчики предпочитают разбираться с открытым кодом самостоятельно.

Заявленная цель с коммутаторами звучит прямо: повторить успех PT NGFW. Получится ли забрать пятую часть рынка за несколько месяцев — вопрос открытый.

Напомним, на том же мероприятии Максут Шадаев призвал вендоров NGFW искать деньги у заказчиков, а не у государства.

RSS: Новости на портале Anti-Malware.ru