Hacktoberfest 2026：メンテナが10月に向けて印を付けた、オープンで初心者向けの issue。 Hacktoberfest の issue を見る

Session Timeout Documentation Missing NIST SP 800-63B Deviation Justification and Internal Inconsistency

オープン
  • 何か問題がありますか？
#110 コメント 0 件 リアクション 0 件 担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度
4/5
見積もり時間
3〜5日
初心者へのやさしさ
48/100
issue の種類
ドキュメント
明瞭さ
おおむね明確
活発さ
静か
技術スタック
python
領域
authentication, documentation, security

調査の方向性

atr/sessions.py の Store.validate() から始め、次に atr/docs/authentication-security.md と atr/docs/asfquart-usage.md を読んで、適用されるタイムアウト値を比較します。7 日間のアイドルタイムアウトが、設定可能な絶対最大値および委任された ASF IdP 認証とどのように関係するかを追跡します。ドキュメントに NIST からの逸脱理由が記録され、到達可能な非アクティブタイムアウト設定を含め、両方のタイムアウト値をカバーするテストがあれば完了です。

索引モデルが issue の本文から書いたものです。

説明

Bringing this to asfquart out of some triage on tooling-trusted-releases; the question is upstream so we consolidate discussion about whether to adopt this or another standard, or document our decisions.

Specifically, things like what should all our timeouts be, how does this line up with MFA, if a user logs out of an app does it invalidate their MFA, etc.

Summary

Two documentation deficiencies exist in the session timeout configuration: (1) the NIST SP 800-63B deviation justification is absent, and (2) the hardcoded 7-day inactivity timeout can never fire under the default 72-hour absolute maximum, making it effectively dead code.

Details

Both an inactivity timeout (_SESSION_IDLE_TIMEOUT, 7 days) and an absolute maximum lifetime (MAX_SESSION_AGE, documented default 72 hours) exist and are documented. However:

  1. The documentation describes the timeout values but does not reference NIST SP 800-63B re-authentication requirements or justify the chosen values as a deviation.
  2. The 7-day inactivity timeout is longer than the 72-hour absolute maximum, so the inactivity check can never fire under default configuration — making it effectively dead code.

Attacker capability required: None (documentation/analysis gap).
Impact: No direct C/I/A impact.

Affected files:

  • atr/sessions.py
  • atr/docs/authentication-security.md
  • atr/docs/asfquart-usage.md

ASVS: 7.1.1 (L2)

Remediation

Add a session risk-analysis note to the session-management documentation that:

  • (a) States the concrete inactivity and absolute-lifetime values actually enforced by Store.validate().
  • (b) Documents the relationship between the hardcoded 7-day idle timeout and the configurable absolute maximum.
  • (c) Records the justification for deviating from NIST SP 800-63B re-authentication intervals given the delegation of primary auth to the ASF IdP.

Consider making _SESSION_IDLE_TIMEOUT configurable so it cannot silently become dead code.

Acceptance Criteria
  • Fixed
  • Test added — assert that Store.validate() correctly applies both timeout values and that the inactivity timeout is reachable under a configuration where it is shorter than the absolute maximum
References
  • ASVS 7.1.1
  • Source report: 7.1.1.md
主要言語
Python
スター
7
フォーク
14
30日以内にマージされた PR はありません

環境構築

このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。

はじめの一歩

  1. issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
  2. 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
  3. リポジトリをフォークし、ブランチを切って変更します。
  4. issue 番号を参照したプルリクエストを送ります。

apache/infrastructure-asfquart のほかの issue

apache/infrastructure-asfquart の issue をすべて見る

似ている issue

Python の issue をもっと見る

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。