Встроенный секрет достигает security use

V-SEC-21 · Дефект

Встроенный секрет достигает security use

Встроенный в shipping-продукт секрет доступен получателю бинарника и не может считаться серверной границей доверия.

Пример проблемы и направление исправления

Учебные сокращённые фрагменты Swift или схемы протокола. Вспомогательные API условны. Это не тестовые oracle и не обещание, что текущий subset выдаст диагностику именно на этот код.

let signingSecret = "embedded-production-secret"
signPrivilegedRequest(signingSecret)

// Привилегированная подпись выполняется на доверенном backend.
// Клиент получает ограниченные краткоживущие полномочия.

Что изменить и что сохранить

Переместить доверенную операцию, отозвать реально раскрытый секрет и изменить provisioning. Обфускация не восстанавливает секретность поставленного значения.

Что подтверждено сейчас

В срезе 022 требуется восстановление и квалификация source producer. Целевое доказательство и пример описывают желаемое поведение; они не являются свидетельством действующей диагностики.

Владелец реализации

T022: точная область и ограничения прослеживаются во внутреннем source manifest.

Стратегия первого результата

Узкий проверяемый случай — план реализации, не maturity

Смысл результата

Дефект — не уровень severity

Профиль реестра

native-experimental.swift-6.3.3

Автоисправление и CI

Эта страница не заявляет autocorrect, default enablement или blocking CI.

Ключ происхождения

SONAR