<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Feb 24, 2016 at 11:17 AM, Jeremy Rowley <span dir="ltr"><<a href="mailto:jeremy.rowley@digicert.com" target="_blank">jeremy.rowley@digicert.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div lang="EN-US" link="blue" vlink="purple"><div><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d">Thanks Ryan. I wouldn’t say these are proposals. Mostly questions about why things are set the way they are. I figured it’d be faster to ask here than do a lot of digging.<u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d"><u></u> <u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d">#1 - Since we are only talking about browsers in the CAB Forum (as the browsers have made absolutely clear many times), does the forum care if it breaks non-browser software? Seems irrelevant at the current CAB Forum level.</span></p></div></div></blockquote><div><br></div><div>While I can't speak for the Forum, we do.</div><div><br></div><div>Our concerns include:</div><div>- Making sure that browsers are not exposed to security risk from non-browser use cases (whether payment terminals, S/MIME, or EID)</div><div>- Making sure that the amount of black magic / standards violation is kept to a minimum, so that anyone that wishes to enter in to the browser market, or be compatible with existing, doesn't have to invoke undocumented arcana or learn all of the exceptions to the rules, unless there is strong security benefit given the deployed market (e.x. nameConstraints as non-critical).</div><div>- Within the confines of the first two, making sure that we don't break other applications needlessly</div><div><br></div><div><br></div></div></div></div>