Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Session Timeout Documentation Missing NIST SP 800-63B Deviation Justification and Internal Inconsistency

Đang mở
  • Có gì không ổn?
#110 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
48/100
Loại issue
Tài liệu
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Ít trao đổi
Công nghệ
python
Lĩnh vực
authentication, documentation, security

Hướng nghiên cứu

Bắt đầu với Store.validate() trong atr/sessions.py, sau đó đọc atr/docs/authentication-security.md và atr/docs/asfquart-usage.md để so sánh các giá trị timeout được áp dụng. Theo dõi mối quan hệ giữa timeout không hoạt động 7 ngày, giá trị tối đa tuyệt đối có thể cấu hình và việc xác thực ASF IdP được ủy quyền. Công việc được xem là hoàn tất khi tài liệu ghi lại lý do sai lệch so với NIST và một bài kiểm thử bao quát cả hai giá trị timeout, bao gồm một cấu hình timeout không hoạt động có thể truy cập được.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Bringing this to asfquart out of some triage on tooling-trusted-releases; the question is upstream so we consolidate discussion about whether to adopt this or another standard, or document our decisions.

Specifically, things like what should all our timeouts be, how does this line up with MFA, if a user logs out of an app does it invalidate their MFA, etc.

Summary

Two documentation deficiencies exist in the session timeout configuration: (1) the NIST SP 800-63B deviation justification is absent, and (2) the hardcoded 7-day inactivity timeout can never fire under the default 72-hour absolute maximum, making it effectively dead code.

Details

Both an inactivity timeout (_SESSION_IDLE_TIMEOUT, 7 days) and an absolute maximum lifetime (MAX_SESSION_AGE, documented default 72 hours) exist and are documented. However:

  1. The documentation describes the timeout values but does not reference NIST SP 800-63B re-authentication requirements or justify the chosen values as a deviation.
  2. The 7-day inactivity timeout is longer than the 72-hour absolute maximum, so the inactivity check can never fire under default configuration — making it effectively dead code.

Attacker capability required: None (documentation/analysis gap).
Impact: No direct C/I/A impact.

Affected files:

  • atr/sessions.py
  • atr/docs/authentication-security.md
  • atr/docs/asfquart-usage.md

ASVS: 7.1.1 (L2)

Remediation

Add a session risk-analysis note to the session-management documentation that:

  • (a) States the concrete inactivity and absolute-lifetime values actually enforced by Store.validate().
  • (b) Documents the relationship between the hardcoded 7-day idle timeout and the configurable absolute maximum.
  • (c) Records the justification for deviating from NIST SP 800-63B re-authentication intervals given the delegation of primary auth to the ASF IdP.

Consider making _SESSION_IDLE_TIMEOUT configurable so it cannot silently become dead code.

Acceptance Criteria
  • Fixed
  • Test added — assert that Store.validate() correctly applies both timeout values and that the inactivity timeout is reachable under a configuration where it is shorter than the absolute maximum
References
  • ASVS 7.1.1
  • Source report: 7.1.1.md
Ngôn ngữ chính
Python
Star
7
Fork
14
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Dự án này không cung cấp dev container, Dockerfile hay hướng dẫn đóng góp, nên bạn cần tự thiết lập môi trường: hãy bắt đầu từ README và xem hướng dẫn đóng góp lần đầu của chúng tôi để biết các bước chung.

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của apache/infrastructure-asfquart

Tất cả issue của apache/infrastructure-asfquart

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.