
<html>

<head>

<meta http-equiv="Content-Type" content="text/html; charset=us-ascii">

<meta name="Generator" content="Microsoft Exchange Server">

<!-- converted from rtf -->

<style><!-- .EmailQuote { margin-left: 1pt; padding-left: 4pt; border-left: #800000 2px solid; } --></style>

</head>

<body>

<font face="Calibri, sans-serif" size="2">

<div>I have a few questions about this ballot. I apologize for not bringing this up during the review period, but you often don’t see things until you’re trying to implement...</div>

<div> </div>

<div>First of all, I haven’t been able to find a concise list on the wiki of what is the current status of each ballot. I assume someone maintains that list, but it would be nice to see it on one page.</div>

<div> </div>

<div>Secondly, a few questions have come up about the construction of the permanentIdentifier. Here’s the current text:</div>

<div style="margin-top: 5pt; margin-bottom: 5pt; "><font face="Times New Roman, serif" size="2" color="#0070C0">"(B) the Certificate MUST include a SubjectAltName:permanentIdentifier which MUST contain the following: </font></div>

<div style="margin-top: 5pt; margin-bottom: 5pt; padding-left: 36pt; "><font face="Times New Roman, serif" size="2" color="#0070C0">"(1) The ISO 3166-2 country code in uppercase characters corresponding to the Subject’s Jurisdiction of Incorporation or Registration

(CC), as specified in the subject:jurisdictionOfIncorporationCountryName field; </font></div>

<div style="margin-top: 5pt; margin-bottom: 5pt; padding-left: 36pt; "><font face="Times New Roman, serif" size="2" color="#0070C0">"(2) If applicable, the state, province, or locality of the Subject’s Jurisdiction of Incorporation in uppercase characters as

specified in the subjectjurisdictionOfIncorporationLocalityName or subject:jurisdictionofIncorporationStateorProvinceName field, expressed in an unabbreviated format (STATE); and </font></div>

<div style="margin-top: 5pt; margin-bottom: 5pt; padding-left: 36pt; "><font face="Times New Roman, serif" size="2" color="#0070C0">"(3) The first one of the following that applies: a. The Registration Number as included in the Subject:serialNumber field (REG),

b. A date of Incorporation or Registration in YYYY-MM-DD format (DATE) and the Subject’s Organization Name as included in the organizationName field (ORG), c. A verifiable date of creation in YYYY-MM-DD format (DATE) and the Subject’s Organization Name as included

in the organizationName field (ORG), or d. The Subject’s Organization Name as included in the organizationName field (ORG). </font></div>

<div style="margin-top: 5pt; margin-bottom: 5pt; "><font face="Times New Roman, serif" size="2" color="#0070C0">"The CA SHALL format data in the SubjectAltName:permanentIdentifier extension using Unicode as follows: CC-STATE (if applicable)- REG or DATE (if

available)-ORG (if REG is not present). Characters representing the organization name MUST be uppercase Unicode. Any included “-“ characters MUST be Unicode 002D and any included spaces in REG, STATE, or ORG MUST be Unicode 0020. A CA MAY truncate or abbreviate

an organization name included in this field to ensure that the combination does not exceed 64 characters provided that the CA checks this field in accordance with section 10.11.1 and a Relying Party will not be misled into thinking that they are dealing with

a different organization. If this is not possible, the CA MUST NOT issue the EV Code Signing Certificate.</font></div>

<ol type="a" style="margin-top: 0pt; margin-bottom: 0pt; margin-left: 36pt; ">

<li>Since the STATE part is “if applicable”, what happens if the STATE is not applicable? Is the permanentIdentifier “CC--REG or DATE”?</li><li>Can a State or Province include a hyphen? If so, I would expect it would need to be escaped somehow so as not to be interpreted as a delimiter.</li><li>Same question about Org, except that I know that Orgs can contain hyphens (e.g., “Hewlett-Packard”).</li><li>We don’t understand the need to allow the CA to truncate so the combination doesn’t exceed 64 characters. That’s the max length of DN components, but this is an extension. If the intent is to insure that any CA would come up with the same combination for

a given organization, this seems to allow for variability that will cause incompatibilities.</li></ol>

<div> </div>

<div>-Rick</div>

<div> </div>

</font>

</body>

</html>