<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Sep 15, 2015 at 12:39 PM, Dean Coclin <span dir="ltr"><<a href="mailto:Dean_Coclin@symantec.com" target="_blank">Dean_Coclin@symantec.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">The comments essentially break down into 2 types:<br>
1. Insuring that any new language added is reviewed and perhaps balloted by<br>
the entire forum (comments from Bruce, Rick, Kirk)<br>
2. Determining whether the network security guidelines should be merged<br>
(Gerv's comment)<br></blockquote><div><br></div><div>Apologies that silence may be seen as no feelings, but Google definitely agrees with Gerv regarding a preference for non-integration.</div><div><br></div><div>During the Google-hosted Mountain View F2F in February of last year, I highlighted several of the practical concerns and problems with these documents. While the adoption of the documents within the CA/B Forum was handled via Ballot 83 ( <a href="https://cabforum.org/2012/08/03/ballot-83-adopt-network-and-certificate-system-security-requirements/">https://cabforum.org/2012/08/03/ballot-83-adopt-network-and-certificate-system-security-requirements/</a> ), the requirements themselves are problematic for a variety of reasons, though well-intentioned.</div><div><br></div><div>As Gerv suggested, I owe the Forum a more detailed write-up of these concerns if we are going to treat them as "Good". The non-adoption/non-requirement by root programs, at the time, left me largely ambivalent as to the need or importance of communicating these, but the unfortunate integration into both ETSI and the WebTrust guidelines perhaps makes this a more necessary function.</div><div><br></div><div>Regardless of their integration status in audits, they're not something we (Google) expect CAs to follow, and have been growing concerned with their interpretation and application, preventing what we view as more secure ways of managing networks from being explored.</div><div><br></div><div>In the interim, it would be quite beneficial to these aims to NOT integrate the NetSec requirements, and to take advantage of the opportunities presented in #1, which as we discussed during the Zurich F2F, there is more than enough ample opportunity to improve things. For example, the Policy WG could consider some of the recent Policy Reviews that have occurred on the mozilla.dev.security.policy mailing list ( <a href="https://groups.google.com/forum/#!forum/mozilla.dev.security.policy">https://groups.google.com/forum/#!forum/mozilla.dev.security.policy</a> ) regarding issues with the structure and quality of CP/CPS for applicants and renewals within the Mozilla Root Program as points that the Forum may provide appropriate guidance on.</div><div><br></div><div>Example policy reviews:</div><div>* SECOM - <a href="https://groups.google.com/d/msg/mozilla.dev.security.policy/LRLkWliCIec/EAGOTubkFwAJ">https://groups.google.com/d/msg/mozilla.dev.security.policy/LRLkWliCIec/EAGOTubkFwAJ</a></div><div>* WISeKey - <a href="https://groups.google.com/d/msg/mozilla.dev.security.policy/U_uy68U7E7o/PIM9tFTdGAAJ">https://groups.google.com/d/msg/mozilla.dev.security.policy/U_uy68U7E7o/PIM9tFTdGAAJ</a></div><div>* SSC - <a href="https://groups.google.com/d/msg/mozilla.dev.security.policy/W0st0yN9bTM/14_-nZ7jGAAJ">https://groups.google.com/d/msg/mozilla.dev.security.policy/W0st0yN9bTM/14_-nZ7jGAAJ</a></div><div>* LuxTrust - <a href="https://groups.google.com/d/msg/mozilla.dev.security.policy/47Jz7f8E4RI/ACHCpG2KCpYJ">https://groups.google.com/d/msg/mozilla.dev.security.policy/47Jz7f8E4RI/ACHCpG2KCpYJ</a></div><div>* Certinomis - <a href="https://groups.google.com/d/msg/mozilla.dev.security.policy/B44zk_YO9zE/lyfaXpVXP4MJ">https://groups.google.com/d/msg/mozilla.dev.security.policy/B44zk_YO9zE/lyfaXpVXP4MJ</a></div><div><br></div><div>Many of these concerns I echo'd during the Policy WG discussions, but perhaps this provides a more convenient venue for member CAs and for members of the Policy WG to consider.</div></div></div></div>