Clarification of language around HSTS

オープン 初心者向け
  • 何か問題がありますか？
#3,364 コメント 2 件 リアクション 0 件 担当者 0 名 GitHub で見る

メンテナーはふだん 1 日以内に返信

まだ誰も着手していません。

評価

難易度
2/5
見積もり時間
1〜3時間
初心者へのやさしさ
72/100
issue の種類
ドキュメント
明瞭さ
明確に書かれている
活発さ
静か
領域
documentation, security

調査の方向性

セクション 3.4.1 を特定し、リポジトリで引用されている HSTS の文言を検索します。周辺の要件を確認し、max-age パラメーターと 1 年の値が曖昧にならないように文言を修正しつつ、L2 以上に対するすべてのサブドメインの要件を維持します。関連する標準文書のテキストが報告された解釈をもはや招かなくなれば完了です。

索引モデルが issue の本文から書いたものです。

説明

4) proposal for review V3 (prev V50)

The wording around the max-age parameter of HSTS is needlessly ambiguous especially in 3.4.1:

Verify that a Strict‑Transport‑Security header field is included on all responses to enforce an HTTP Strict Transport Security (HSTS) policy. A maximum age of at least 1 year must be defined, and for L2 and up, the policy must apply to all subdomains as well.

The problem here is the use of "maximum age", the sentence can be parsed as the maximum value of the parameter or the maximum value of max-age. This all hooks on the words "... at least ...", if they're missed on a skim read the sentence has a different meaning. The sentence caused confusion for our internal advice, as we tried to work out what the best recommendation for HSTS was.

To make it totally unambiguous it would be better to rephrase it to be explicit, something like:

Verify that a Strict‑Transport‑Security header field is included on all responses to enforce an HTTP Strict Transport Security (HSTS) policy. The max-age parameter should be set to at least 31536000 (one year). For L2 and up, the policy must apply to all subdomains as well.

主要言語
HTML
スター
3.8k
フォーク
855
平均マージ
1日 9時間
マージ済み PR（30日）
8

環境構築

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

OWASP/ASVS のほかの issue

OWASP/ASVS の issue をすべて見る

似ている issue

Documentation の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。