spiffe/spire

JWT signing key validity period not considered in calculation of bundle "spiffe_refresh_hint"

Aberta

#2.256 aberto em 6 de mai. de 2021

Ver no GitHubGuia do colaborador
 (4 comentários) (2 reações) (0 responsável)Go (631 forks)auto 404
help wantedpriority/backlog

Métricas do repositório

Stars
 (2.443 estrelas)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

  • Version: 73f660bee008e1e4f8d310158c1258b65b53f959
  • Platform: All
  • Subsystem: Server

The spiffe_refresh_hint parameter of a bundle represents a suggestion for when a consumer should consider requesting a new version of the bundle, see SPIFFE Trust Domain and Bundle Section 4.1.2.

SPIRE currently only considers the lifetime of X.509 root CAs in the trust bundle for its calculation of this refresh hint. Today, SPIRE Server X.509 root CA and JWT signing keys have the same validity period, but ideally the refresh hint calculation should not depend on this assumption.

Guia do colaborador

Direção de pesquisa
Estude o cálculo do refresh hint do bundle no código do servidor SPIRE, atualmente baseado apenas na vida útil da CA raiz X.509. Identifique onde a validade da chave de assinatura JWT não é considerada e modifique o cálculo para incorporar a expiração da chave JWT.
Pilha de tecnologia
go
Domain
backend
Tipo Issue
Bug
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
3
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GoSPIFFE/SPIRE concepts
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
60