Ein Geheimnis ist schon einmal durchgerutscht

Erklärung

Bevor wir den Ablehnungstag erreichen, sehen wir die Schwärzungs-Disziplin in Aktion. Am 21. September rendierte die Anmelde-Ansicht eine gespeicherte Fehlermeldung als rohen Lokalisierungsschlüssel statt als übersetzten Text — kein Geheimnis-Leck, aber ein Zeichen, dass Anzeige-Code Werte unverändert durchreichen kann, die er hätte umwandeln sollen. Am selben Tag wurde das korrigiert. Einen Tag später stand beim Veröffentlichen eines Zustellungs-Untersuchungsberichts eine echte interne Postfach-Adresse im Text; sie wurde vor der Veröffentlichung entfernt. Wieder einen Tag später enthielt ein physischer QA-Bericht wiederhergestellte Einmalcodes und Sitzungskennungen aus einem Geräte-Protokoll; auch sie wurden geschwärzt. Drei verschiedene Stellen, dieselbe Reaktion: erst finden, dann veröffentlichen — nie umgekehrt. Wichtig für diese Vorlesung: keiner der ursprünglich geleakten Werte wird hier wiedergegeben, auch als Lehrbeispiel nicht. Nur die Tatsache des Fundes und der Nachbesserung ist der Beleg.

Drei Lecks, dieselbe Nachschau

Anzeige-Leck

Ein interner Bezeichner erscheint, wo ein übersetzter Satz stehen sollte.

Kontakt-Leck

Eine echte, dauerhafte Adresse steht in einem sonst anonymisierten Bericht.

Protokoll-Leck

Ein wiederhergestellter Einmalcode steht in einem rohen Geräte-Mitschnitt.

Wiederkehrende Nachschau

„Was steht hier, das nicht stehen dürfte“ — bei jeder Veröffentlichung neu.

Selbst ausprobieren

Alle drei Funde wurden erst nach dem ersten Entwurf der jeweiligen Veröffentlichung entdeckt, nie vorher. Was folgt daraus für den Zeitpunkt einer Schwärzungsprüfung — vor dem Schreiben oder nach dem Schreiben, aber vor dem Teilen?

Belege

if let messageKey {
                        Text(LocalizedStringKey(messageKey))
                            .font(.footnote)

- Scope: owner-reported OTP e-mail non-delivery for `<owner admin address — redacted in this publication copy; original evidence unchanged>` on study-dev.

Secrets under `E/secrets/` (0600), codes/state redacted in this record.

Quellen

• Lernvisite · Repository (docs/lernbegleiter/engineering/)