구글(Google) API 키, 젬마이(Gemini)로 인해 보안 위협에 노출
by DD
4개월 전
조회수 42
구글(Google)은 오랫동안 API 키를 보안 비밀(Secret)로 취급하지 않음을 강조했으나, 젬마이(Gemini) 출시 이후 상황이 변화함
기존에 공개적으로 사용되던 API 키가 젬마이(Gemini) API 접근 권한을 얻어 개인 데이터 유출 및 비용 청구 가능성이 발생함
2,863개의 API 키가 공개된 상태로, 구글(Google) 자체 서비스에서도 동일한 문제가 발생함
구글(Google)은 문제 해결을 위해 API 키 접근 제한 및 유출 감지 시스템을 구축 중임
API 키의 권한 확장(Privilege Expansion) 문제
구글(Google)은 젬마이(Gemini) API 활성화 시 기존 API 키에 추가적인 권한(Privileges)을 부여하여, 개발자들에게 예기치 않은 보안 위험을 초래했다. 특히, 웹사이트에 공개적으로 노출된 API 키가 젬마이(Gemini) API에 접근 가능해지면서 데이터 유출(Data Leakage) 및 비용 증가(Cost Increase)의 위험이 발생했다. 이는 구글(Google)이 API 키를 관리하는 방식의 근본적인 문제점을 드러낸다.
안전하지 않은 기본 설정(Insecure Defaults)의 위험성
구글 클라우드(Google Cloud)에서 API 키를 생성할 때, 기본적으로 모든 API에 접근 가능한 '제한 없음(Unrestricted)' 설정을 제공하는 것은 심각한 문제로 지적된다. 안전하지 않은 기본 설정(Insecure Defaults)은 개발자가 의도하지 않게 젬마이(Gemini) API에 접근할 수 있도록 하여, 잠재적인 공격 표면을 넓힌다. 이는 잘못된 권한 할당(Incorrect Privilege Assignment)으로 이어져 보안 사고의 위험을 높인다.
