Update proposal for v5.0.0-3.3.1 and v5.0.0-3.3.3 to cover __Host-Http- and __Http- cookie name prefixes

Abierto Apto para principiantes
  • ¿Algo no está bien?
#3,429 1 comentario 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
75/100
Tipo de issue
Documentación
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
html
Área
documentation, security

Línea de trabajo

Encuentra la fuente de ASVS para los requisitos v5.0.0-3.3.1 y v5.0.0-3.3.3 y lee los requisitos de cookies cercanos para comprobar su redacción y formato. Actualiza las dos descripciones para incluir los prefijos de nombre de cookie propuestos, conservando la excepción indicada para las cookies compartidas con otros hosts; la tarea estará completa cuando ambos requisitos reflejen las propuestas sin cambiar su intención.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

1) Discussion ongoing 4) proposal for review V3 (prev V50)

In current cookie-related requirements we have covered __Host- and __Secure- cookie name prefixes, but now exists also __Http- and __Host-Http-.

To address __Http- and/or __Host-Http- - there is a separate issue opened for "the HttpOnly requirement": #3331.

Without causing breaking changes, we can update requirements v5.0.0-3.3.1 and v5.0.0-3.3.3.

# Description Level
v5.0.0-3.3.1 Verify that cookies have the 'Secure' attribute set, and if the '__Host-' prefix is not used for the cookie name, the '__Secure-' prefix must be used for the cookie name. 1

Problem to solve: it may be interpreted, that only __Host- and __Secure- name prefixes are allowed. As all name prefixes require Secure attribute to be set, we can accept any of them.

Current:

and if the '__Host-' prefix is not used for the cookie name, the '__Secure-' prefix must be used for the cookie name.

Proposal:

and a suitable cookie name prefix ('__Host-', '__Host-Http-', '__Http-', '__Secure-') must be used.

# Description Level
v5.0.0-3.3.3 Verify that cookies have the '__Host-' prefix for the cookie name unless they are explicitly designed to be shared with other hosts. 2

Current:

Verify that cookies have the '__Host-' prefix for the cookie name ...

Problem to solve: cover __Host-Http- as an acceptable solution.

Proposal:

Verify that cookies have the '__Host-' (or '__Host-Http-') prefix for the cookie name ...

For the next major release, we should probably combine 3.3.1, 3.3.3, and 3.3.4 into one requirement. But as this is not going to happen in the near future, we may have completely new names and attributes to play with, and there is no point in solving that problem at the moment.

Lenguaje dominante
HTML
Estrellas
3.8k
Forks
855
Merge medio
1 d 9 h
PR fusionados (30 d)
8

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de OWASP/ASVS

Todos los issues de OWASP/ASVS

Issues similares

Más issues de Documentation

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.