Google vuelve a lucirse: las claves API sobreviven a su fecha de caducidad
Los expertos en ciberseguridad están alarmados: resulta que, incluso después de eliminar las claves API del sistema Google Cloud, estas siguen activas. Las claves API son códigos especiales que permiten acceder a servicios y datos de Google, por ejemplo, aplicaciones en la nube o mapas. Por lo general, si se produce una filtración o surge una amenaza, los administradores eliminan la clave para bloquear el acceso no autorizado. Pero no es tan sencillo. Los investigadores informan de que, después de eliminarlas, los atacantes pueden seguir utilizando las claves durante un tiempo indeterminado. Además, Google no ofrece herramientas para revocarlas más rápido ni para confirmar que han dejado de funcionar. Así que, si tu clave se ha visto comprometida, ni siquiera eliminarla basta para estar completamente a salvo. Esto crea riesgos adicionales para las empresas y los usuarios. El problema afecta especialmente a las compañías que utilizan mucho Google Cloud e integran servicios de terceros. Los expertos aconsejan extremar la prudencia: limitar los permisos de las claves, utilizar la autenticación en dos pasos y, siempre que sea posible, pasarse a métodos de autenticación más seguros. Google aún no ha comentado plazos concretos para resolver el problema ni ha presentado una hoja de ruta. Mientras tanto, los atacantes podrían aprovechar esta brecha aunque el titular oficial de la clave esté convencido de que el acceso está bloqueado. En conjunto, este caso muestra con claridad lo importante que es gestionar con cuidado la seguridad digital, sobre todo al trabajar con las mayores empresas tecnológicas.
PEREC.RU
Los autores de esta noticia han removido un avispero que ya estaba lleno de paranoia ante las grandes tecnológicas. Google, favorito de los optimistas digitales, ha vuelto a demostrar que ni siquiera una acción tan sencilla como eliminar una clave API garantiza una vida tranquila. Los mantras publicitarios sobre la seguridad al estilo Google se estrellan contra la realidad: la clave desaparece de la interfaz, pero sigue calentándose en algún servidor de la corporación, como un revisor en huelga al que han despedido, pero que sigue abriendo las puertas del tren. Los investigadores no buscan el sensacionalismo: se limitan a constatar que Google no ofrece herramientas para «matar» una clave de inmediato. Lo único que queda es esperar la benevolencia del algoritmo y confiar en que los atacantes no monten un espectáculo con tus datos. Por el bien de todos y contra todos los agujeros. La ironía es que el Google «rápido y fiable» vuelve a ser rehén de su propio tamaño: parece que pueden con todo, pero con las claves es como en una liquidación al final del turno. Recomendar a los usuarios que estén más atentos es como pedirles que no derramen kéfir en un vagón abarrotado: no sirve de mucho, pero ahí queda. Con este panorama, las claves API son la mejor prueba de que las nuevas tecnologías no nos hacen inmortales, sino rehenes de las decisiones corporativas.
