grafana/k6

webcrypto: Throw exception on `saltLength: 0` for RSA PSS sign/verify

Open

Aperta il 30 ott 2024

Vedi su GitHub
 (14 commenti) (0 reazioni) (1 assegnatario)Go (30.564 star) (1537 fork)batch import
area: webcryptogood first issuehelp wanted

Descrizione

What?

While implementing support of RSA grafana/xk6-webcrypto#85 we've found that standard Golang's SDK doesn't provide support of the saltLength: 0, instead it always tries to generate salt with the maximum length.

This led us for the patch to WebPlatfrom tests: https://github.com/grafana/xk6-webcrypto/blob/main/webcrypto/tests/wpt-patches/WebCryptoAPI__sign_verify__rsa.js.patch

Since some use cases could actually try to use the lengths of salt 0 we need to issue a log warning user that the actual behavior of our implementation is different.

edit(@mstoykov): After some discussion the idea is currently to throw an exception instead of just log a warning.

Why?

It improves UX and makes implementation predictable.

Guida contributor

Tech stack
go
Dominio
backendsecurity
Tipo issue
bug
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
half day
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
active
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
mostly clear
Prerequisiti
GoGit
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
50
Direzione di ricerca
Il problema richiede di modificare l'implementazione della firma/verifica RSA PSS in Go per generare un'eccezione quando saltLength è 0. Rivedere la discussione nei commenti dell'issue, in particolare la patch collegata nel repository xk6 webcrypto. La modifica dovrebbe essere nel file che gestisce le operazioni WebCrypto, probabilmente nel sottomodulo xk6 webcrypto o in una posizione simile. Assicurarsi che l'eccezione corrisponda alla specifica WebCrypto.