Add opt-in support for ignoring URI name constraints
Los mantenedores suelen responder en 1 día
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 45/100
Línea de trabajo
Empieza revisando el manejo de las restricciones de nombre URI introducido en la release 0.103.12 y la API del verificador, ya que no se nombran archivos ni pruebas específicos. Se considera terminado cuando el rechazo predeterminado permanece sin cambios, mientras que los llamadores disponen de una ruta opt-in que ignora las restricciones de nombre URI para su propia aplicación.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
As of release 0.103.12, which has the fix for GHSA-965h-392x-2mh5, a chain containing a URI name constraint is now rejected unconditionally, where previously the constraint was silently ignored.
This definitely makes sense as a default, but it's a breaking change for anyone whose CAs already carry URI name constraints. Webpki doesn't expose an API to assert URI names in the first place, so callers who care about URI name constraints may have been enforcing them themselves against the verified cert chain. For those callers the unconditional rejection short-circuits path validation before any other enforcement can run, and AFAICT there's no way to keep things working short of pinning a pre-0.103.12 version.
Is there any room for an opt-in (eg a flag on the verifier) that restores the old "ignore URI name constraints" behavior and leaves enforcement to the caller? Happy to submit a PR for this if there's interest.
- Lenguaje dominante
- Rust
- Estrellas
- 166
- Forks
- 111
- Merge medio
- 3 h 39 min
- PR fusionados (30 d)
- 5
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Sin plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de rustls/webpki
-
Path building re-parses every intermediate on each budgeted call (unbudgeted CPU cost)Posiblemente ocupada @batmnnn la tomó hace 17 días. Abierto
Dificultad 3/5 1-2 días Aptitud para principiantes 72/100
Los mantenedores suelen responder en 1 día
-
Improve error message when denying subject name due to wildcard in public suffixQuizá libre de nuevo @ctz la tomó hace 73 días y no hay ningún pull request abierto. Abierto
rustls/webpki#532 · 1 reacción · 1 asignado ·
Los mantenedores suelen responder en 1 día
-
Consider all candidate CRLsQuizá libre de nuevo @cpu la tomó hace 79 días y no hay ningún pull request abierto. Abierto
rustls/webpki#526 · 2 comentarios · 1 asignado ·
Los mantenedores suelen responder en 1 día
-
Dificultad 4/5 3-5 días Aptitud para principiantes 48/100
rustls/webpki#505 · 5 comentarios ·
Los mantenedores suelen responder en 1 día
-
Email Name ConstraintsAbierto
Dificultad 5/5 Más de una semana Aptitud para principiantes 45/100
rustls/webpki#445 · 4 comentarios ·
Los mantenedores suelen responder en 1 día
Todos los issues de rustls/webpki
Issues similares
-
chore(roles): record Elixir bare atom/keyword as StringLit excludes instead of coverage debtAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100
dekobon/big-code-analysis#1859 ·
Los mantenedores suelen responder en 1 día
-
agent-self
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
yologdev/yoyo-evolve#1160 ·
-
phase:3
Dificultad 1/5 Menos de una hora Aptitud para principiantes 86/100
pchrysostomou/ananke#214 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
eliasstravik/herdr-projects#845 ·
-
enhancement
Dificultad 2/5 1-3 horas Aptitud para principiantes 63/100
ramensoftware/windhawk#1187 ·