Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Session Timeout Documentation Missing NIST SP 800-63B Deviation Justification and Internal Inconsistency

Abierto
  • ¿Algo no está bien?
#110 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
48/100
Tipo de issue
Documentación
Claridad
Bastante claro
Estado de actividad
Tranquilo
Stack tecnológico
python
Área
authentication, documentation, security

Línea de trabajo

Empieza con Store.validate() en atr/sessions.py y luego lee atr/docs/authentication-security.md y atr/docs/asfquart-usage.md para comparar los valores de timeout aplicados. Rastrea cómo se relaciona el timeout de inactividad de 7 días con el máximo absoluto configurable y la autenticación delegada de ASF IdP. El trabajo estará terminado cuando la documentación registre la justificación de la desviación respecto a NIST y una prueba cubra ambos valores de timeout, incluida una configuración de timeout de inactividad accesible.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Bringing this to asfquart out of some triage on tooling-trusted-releases; the question is upstream so we consolidate discussion about whether to adopt this or another standard, or document our decisions.

Specifically, things like what should all our timeouts be, how does this line up with MFA, if a user logs out of an app does it invalidate their MFA, etc.

Summary

Two documentation deficiencies exist in the session timeout configuration: (1) the NIST SP 800-63B deviation justification is absent, and (2) the hardcoded 7-day inactivity timeout can never fire under the default 72-hour absolute maximum, making it effectively dead code.

Details

Both an inactivity timeout (_SESSION_IDLE_TIMEOUT, 7 days) and an absolute maximum lifetime (MAX_SESSION_AGE, documented default 72 hours) exist and are documented. However:

  1. The documentation describes the timeout values but does not reference NIST SP 800-63B re-authentication requirements or justify the chosen values as a deviation.
  2. The 7-day inactivity timeout is longer than the 72-hour absolute maximum, so the inactivity check can never fire under default configuration — making it effectively dead code.

Attacker capability required: None (documentation/analysis gap).
Impact: No direct C/I/A impact.

Affected files:

  • atr/sessions.py
  • atr/docs/authentication-security.md
  • atr/docs/asfquart-usage.md

ASVS: 7.1.1 (L2)

Remediation

Add a session risk-analysis note to the session-management documentation that:

  • (a) States the concrete inactivity and absolute-lifetime values actually enforced by Store.validate().
  • (b) Documents the relationship between the hardcoded 7-day idle timeout and the configurable absolute maximum.
  • (c) Records the justification for deviating from NIST SP 800-63B re-authentication intervals given the delegation of primary auth to the ASF IdP.

Consider making _SESSION_IDLE_TIMEOUT configurable so it cannot silently become dead code.

Acceptance Criteria
  • Fixed
  • Test added — assert that Store.validate() correctly applies both timeout values and that the inactivity timeout is reachable under a configuration where it is shorter than the absolute maximum
References
  • ASVS 7.1.1
  • Source report: 7.1.1.md
Lenguaje dominante
Python
Estrellas
7
Forks
14
Sin PR fusionados en 30 d

Preparar el entorno

Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de apache/infrastructure-asfquart

Todos los issues de apache/infrastructure-asfquart

Issues similares

Más issues de Python

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.