【情報漏洩】公開サイトに有効なAPIキー1748件、米大学などが調査

米スタンフォード大学などの研究者は、Webサイト上で秘密にすべきAPIキーが露出している実態について、調査結果を発表した。1000万サイトを対象に調べたところ、主要14サービスの有効なキー1748件が、5693のドメインで誰でも閲覧できる状態だった。

APIキーは、サービスのAPIを利用する際に配布元が発行する秘密の認証情報。調査では、ブラウザが実際に読み込んだ通信データを解析した。対象のサービスにはAWS、Stripe、GitHub、OpenAIなどが含まれる。世界的な銀行や国のエネルギー事業者のほか、学校、警察、裁判所のシステムに関わる露出もあったとしている。

見つかった露出の84％はJavaScriptファイル内にあり、そのうち6割以上はビルド工程で自動生成されたファイルにのみ存在していた。開発ツールの環境変数を誤って設定すると、秘密のキーが公開用ファイルに埋め込まれるため、ソースコードだけの検査では見つけにくいという。

過去のデータからは、漏えいしたキーが平均1年間放置されていたことも分かった。研究チームが対象組織に警告メールを送った結果、2週間で約半数のキーが削除された一方、キーの無効化まで実施したのは26％だった。