<html>
  <head>
    <meta content="text/html; charset=ISO-8859-1"
      http-equiv="Content-Type">
  </head>
  <body text="#000000" bgcolor="#FFFFFF">
    <div class="moz-cite-prefix">SSC votes: "Yes".<br>
      <br>
      Thanks,<br>
      M.D.<br>
      On 4/18/2013 8:21 PM, Rick Andrews wrote:<br>
    </div>
    <blockquote
cite="mid:544B0DD62A64C1448B2DA253C01141460707449E84@TUS1XCHEVSPIN33.SYMC.SYMANTEC.COM"
      type="cite">
      <meta http-equiv="Content-Type" content="text/html;
        charset=ISO-8859-1">
      <meta name="Generator" content="Microsoft Exchange Server">
      <!-- converted from rtf -->
      <style><!-- .EmailQuote { margin-left: 1pt; padding-left: 4pt; border-left: #800000 2px solid; } --></style>
      <font size="2" face="Calibri, sans-serif">
        <div>Rick Andrews made the following motion, and Adam Langley
          from Google and Erwann Abalea from Keynectis endorsed it: </div>
        <div>... Motion Begins ... </div>
        <div>... Erratum Begins ... </div>
        <div> </div>
        <div>In the Baseline Requirements for the Issuance and
          Management of Publicly-Trusted Certificates, Appendix A, add
          to each of the tables (1) Root CA Certificates, (2)
          Subordinate CA Certificates, and (3) Subscriber Certificates a
          new row with these three column
          entries (comma-separated):</div>
        <div>Minimum DSA modulus and divisor size (bits) ***, L= 2048,
          N= 224 or L= 2048, N= 256, L= 2048, N= 224 or L= 2048, N= 256
        </div>
        <div> </div>
        <div>Following Table 3, change the first sentence to read
          (++added language++):</div>
        <div>* SHA-1 MAY be used ++with RSA keys++ until SHA-256 is
          supported widely by browsers used by a substantial portion of
          relying-parties worldwide. </div>
        <div> </div>
        <div>After "** A Root CA Certificate issued...", add: </div>
        <div>*** L and N (the bit lengths of modulus p and divisor q,
          respectively) are described in the Digital Signature Standard,
          FIPS 186-3 (<a moz-do-not-send="true"
            href="http://csrc.nist.gov/publications/fips/fips186-3/fips_186-3.pdf"><font
              color="#0000FF"><u>http://csrc.nist.gov/publications/fips/fips186-3/fips_186-3.pdf</u></font></a>).
        </div>
        <div> </div>
        <div>To Section "(4) General requirements for public keys", add:
        </div>
        <div>DSA: Although FIPS 800-57 says that domain parameters may
          be made available at some accessible site, compliant DSA
          certificates MUST include all domain parameters. This is to
          insure maximum interoperability among relying party software.
          The CA MUST confirm
          that the value of the public key has the unique correct
          representation and range in the field, and that the key has
          the correct order in the subgroup. [Source: Section 5.3.1,
          NIST SP 800-89]. </div>
        <div> </div>
        <div>ECC: The CA SHOULD confirm the validity of all keys using
          either the ECC Full Public Key Validation Routine or the ECC
          Partial Public Key Validation Routine. [Source: Sections
          5.6.2.5 and 5.6.2.6, respectively, NIST SP 800-56A]. </div>
        <div> </div>
        <div>... Erratum Ends ... </div>
        <div> </div>
        <div>PDF and Word versions of the proposed changes in redline
          are posted as attachments to the wiki page (<a
            moz-do-not-send="true"
            href="https://www.cabforum.org/wiki/99%20-%20Add%20DSA%20Keys"><font
              color="#0000FF"><u>https://www.cabforum.org/wiki/99%20-%20Add%20DSA%20Keys</u></font></a>)
          and attached to this email for easier reading.</div>
        <div> </div>
        <div>The review period for this ballot shall commence at 21:00
          UTC on 19 April 2013 and will close at 21:00 UTC on 26 April
          2013. Unless the motion is withdrawn during the review period,
          the voting period will start immediately thereafter and will
          close at
          21:00 UTC on 3 May 2013. Votes must be cast by posting an
          on-list reply to this thread. </div>
        <div> </div>
        <div>... Motion ends ... </div>
        <div> </div>
        <div>A vote in favor of the motion must indicate a clear 'yes'
          in the response. </div>
        <div> </div>
        <div>A vote against must indicate a clear 'no' in the response.
          A vote to abstain must indicate a clear 'abstain' in the
          response. Unclear responses will not be counted. The latest
          vote received from any representative of a voting member
          before the close of
          the voting period will be counted. </div>
        <div>Voting members are listed here: <a moz-do-not-send="true"
            href="http://www.cabforum.org/forum.html"><font
              color="#0000FF"><u>http://www.cabforum.org/forum.html</u></font></a>
        </div>
        <div> </div>
        <div>In order for the motion to be adopted, two thirds or more
          of the votes cast by members in the CA category and one half
          or more of the votes cast by members in the browser category
          must be in favor. Also, at least six members must participate
          in the ballot,
          either by voting in favor, voting against or abstaining. </div>
        <div> </div>
        <div> </div>
        <div> </div>
      </font>
      <br>
      <fieldset class="mimeAttachmentHeader"></fieldset>
      <br>
      <pre wrap="">_______________________________________________
Public mailing list
<a class="moz-txt-link-abbreviated" href="mailto:Public@cabforum.org">Public@cabforum.org</a>
<a class="moz-txt-link-freetext" href="https://cabforum.org/mailman/listinfo/public">https://cabforum.org/mailman/listinfo/public</a>
</pre>
    </blockquote>
    <br>
  </body>
</html>