<div dir="ltr">To link the threads, I brought this issue up on the Policy WG list in December with a much tinier (and less robust) proposed fix:<div><a href="https://cabforum.org/pipermail/policyreview/2015-December/000188.html" target="_blank">https://cabforum.org/pipermail/policyreview/2015-December/000188.html</a><br></div><div><br></div><div>And Dean kindly added some context:</div><div><a href="https://cabforum.org/pipermail/policyreview/2016-January/000190.html" target="_blank">https://cabforum.org/pipermail/policyreview/2016-January/000190.html</a><br></div><div><br></div><div>I definitely read 9.16.3 not so much as addressing targeted government interference (which, as Jeremy notes, there's nothing CAB can do about if the government is serious about keeping such interference secret), but addressing requirements of local law which thoughtlessly (or deliberately) conflict with CAB requirements.</div><div><br></div><div>Jeremy's and Ryan's points are both solid. Combining them leads to this proposed change:</div><div><br></div><div><br></div><div><p class="MsoNormal" style="font-size:12.8px"><b>9.16.3. Severability<u></u><u></u></b></p><p class="MsoNormal"><span style="font-size:12.8px">If a court or government body with jurisdiction over the activities covered by these Requirements determines that the performance of any mandatory requirement is illegal, then such requirement is considered reformed to the minimum extent necessary to make the requirement valid and legal. This applies only to operations or certificate issuances that are subject to the laws of that jurisdiction. The parties involved SHALL notify the CA / Browser Forum </span><u style="font-size:12.8px"><span style="color:red">by sending a detailed message to <a href="mailto:questions@cabforum.org" target="_blank">questions@cabforum.org</a> </span></u><span style="font-size:12.8px">of the facts, circumstances, and law(s) involved, </span><u><font color="#ff0000"><span style="font-size:12.8px">and receiving confirmation that it has been posted to the Public Mailing List and is indexed in the Public Mail Archives available at <a href="https://cabforum.org/pipermail/public/" target="_blank">https://cabforum.org/pipermail/public/</a>,</span></font></u><font color="#ff0000"><span style="font-size:12.8px"> </span></font><span style="font-size:12.8px">so that the CA/Browser Forum may </span><u style="font-size:12.8px"><font color="#ff0000">consider possible revisions to these</font></u><span style="font-size:12.8px"> Requirements accordingly.<u></u><u></u></span></p><font color="#ff0000"><span style="font-size:12.8px"><u>A CA that issues a certificate under a requirement reformed through an action of a court or government body with jurisdiction SHALL list the reformed requirement in Section 9.16.3 of the CA’s CPS prior to issuing a certificate and include (in Section 9.16.3 of the CA’s CPS) a reference to the law or government order requiring a reformation under this section.</u></span></font><br></div><div class="gmail_extra"><br></div><div class="gmail_extra"><br></div><div class="gmail_extra">(Adding some text here so those using Gmail don't get an email truncated at the wrong place.)</div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Apr 27, 2016 at 5:11 PM, Jeremy Rowley <span dir="ltr"><<a href="mailto:jeremy.rowley@digicert.com" target="_blank">jeremy.rowley@digicert.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-style:solid;border-left-color:rgb(204,204,204);padding-left:1ex"><div bgcolor="white" lang="EN-US" link="blue" vlink="purple"><div><p class="MsoNormal"><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext">There is nothing policy-wise that the CAB forum can do about a gag order (which is why CT and gossiping is fundamentally necessary). However, I don’t think most govs intentionally enact contradictory requirements. Instead, they enact policies globally applicable without awareness of ore regards to any standards body like the CAB Forum. This change (along with the existing language) will allow the CAB Forum and relying parties to identify unintentional conflicts without having the entire document voided by a government ruling.<u></u><u></u></span></p><p class="MsoNormal"><a name="m_2816599532198465495_m_-2614196327212145499_m_-3863444291640760082__MailEndCompose"><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext"><u></u> <u></u></span></a></p><div><div style="border-style:solid none none;border-top-width:1pt;border-top-color:rgb(225,225,225);padding:3pt 0in 0in"><p class="MsoNormal"><b><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext">From:</span></b><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext"> <a href="mailto:public-bounces@cabforum.org" target="_blank">public-bounces@cabforum.org</a> [mailto:<a href="mailto:public-bounces@cabforum.org" target="_blank">public-bounces@cabforum.org</a>] <b>On Behalf Of </b>Rich Smith<br><b>Sent:</b> Wednesday, April 27, 2016 1:31 PM<br><b>To:</b> <a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a><br><b>Subject:</b> Re: [cabfpub] BRs section 9.16.3 (exception for laws)<u></u><u></u></span></p></div></div><div><div><p class="MsoNormal"><u></u> <u></u></p><p class="MsoNormal" style="margin-bottom:12pt">None of this addresses a gag order by said jurisdiction, which IMO is quite likely in a case wherein a government put such a requirement on a CA, at least in any case where such deviation from the BRs is truly of any concern.  Dead man switch?<u></u><u></u></p><div><p class="MsoNormal">On 4/27/2016 12:44 PM, Ryan Sleevi wrote:<u></u><u></u></p></div><blockquote style="margin-top:5pt;margin-bottom:5pt"><div><p class="MsoNormal">Jeremy, <u></u><u></u></p><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">I don't believe your proposal addresses the necessary transparency and disclosure that the CA ecosystem needs for such matters. Is there a reason you removed that language, or was it merely an oversight in addressing the other issue you highlighted?<u></u><u></u></p><div><p class="MsoNormal"><u></u> <u></u></p><div><p class="MsoNormal">On Wed, Apr 27, 2016 at 10:40 AM, Jeremy Rowley <<a href="mailto:jeremy.rowley@digicert.com" target="_blank">jeremy.rowley@digicert.com</a>> wrote:<u></u><u></u></p><blockquote style="border-style:none none none solid;border-left-width:1pt;border-left-color:rgb(204,204,204);padding:0in 0in 0in 6pt;margin:5pt 0in 5pt 4.8pt"><div><div><p class="MsoNormal"><span style="color:windowtext">Some CAs may not “want” to deviate from a requirement but may be forced to by regulation. They also won’t “deviate from… these Requirements” because the requirements are reformed to the extent necessary to accommodate for the law.</span><u></u><u></u></p><p class="MsoNormal"><span style="color:windowtext"> </span><u></u><u></u></p><p class="MsoNormal"><span style="color:windowtext">How about:</span><u></u><u></u></p><p class="MsoNormal"><span style="color:red"> </span><u></u><u></u></p><p class="MsoNormal"><u><span style="color:red">A CA that issues a certificate under a requirement reformed through an action of a court or government body with jurisdiction SHALL list the reformed requirement in Section 9.16.3 of the CA’s CPS prior to issuing a certificate and include (in Section 9.16.3 of the CA’s CPS) a reference to the law or government order requiring a reformation under this section .</span></u><u></u><u></u></p><p class="MsoNormal"><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext"> </span><u></u><u></u></p><p class="MsoNormal"><a name="m_2816599532198465495_m_-2614196327212145499_m_-3863444291640760082_m_-3985529974465167206__MailEndCompose"><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext"> </span></a><u></u><u></u></p><div><div style="border-style:solid none none;border-top-width:1pt;border-top-color:rgb(225,225,225);padding:3pt 0in 0in"><p class="MsoNormal"><b><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext">From:</span></b><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext"> </span><a href="mailto:public-bounces@cabforum.org" target="_blank"><span style="font-size:11pt;font-family:Calibri,sans-serif">public-bounces@cabforum.org</span></a><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext"> [mailto:</span><a href="mailto:public-bounces@cabforum.org" target="_blank"><span style="font-size:11pt;font-family:Calibri,sans-serif">public-bounces@cabforum.org</span></a><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext">] <b>On Behalf Of </b>Gervase Markham<br><b>Sent:</b> Wednesday, April 27, 2016 10:38 AM<br><b>To:</b> CABFPub <</span><a href="mailto:public@cabforum.org" target="_blank"><span style="font-size:11pt;font-family:Calibri,sans-serif">public@cabforum.org</span></a><span style="font-size:11pt;font-family:Calibri,sans-serif;color:windowtext">><br><b>Subject:</b> [cabfpub] BRs section 9.16.3 (exception for laws)</span><u></u><u></u></p></div></div><div><div><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal" style="text-autospace:none">Hi everyone,<u></u><u></u></p><p class="MsoNormal" style="text-autospace:none">At the last CAB Forum meeting, we had a discussion about BRs section 9.16.3, and the possibility that it allows CAs to violate the BRs without appropriate notification. After the CAB Forum meeting, the following amendment (which I have tweaked) was helpfully suggested by one participant in the conversation The aim is to bring transparency, so anyone in violation under this clause is at least documented, and we can consider revisions to the BRs accordingly.<u></u><u></u></p><p class="MsoNormal" style="text-autospace:none">What do people think?<u></u><u></u></p><p class="MsoNormal" style="text-autospace:none">Gerv<u></u><u></u></p><p class="MsoNormal" style="text-autospace:none"> <u></u><u></u></p><p class="MsoNormal" style="text-autospace:none"><b>9.16.3. Severability</b><u></u><u></u></p><p class="MsoNormal" style="text-autospace:none">If a court or government body with jurisdiction over the activities covered by these Requirements determines that the performance of any mandatory requirement is illegal, then such requirement is considered reformed to the minimum extent necessary to make the requirement valid and legal. This applies only to operations or certificate issuances that are subject to the laws of that jurisdiction. The parties involved SHALL notify the CA / Browser Forum <u><span style="color:red">by sending a detailed message to </span></u><a href="mailto:questions@cabforum.org" target="_blank">questions@cabforum.org</a><u><span style="color:red"> </span></u>of the facts, circumstances, and law(s) involved, <u><span style="color:red">and receiving confirmation of the receipt of the message by the CA/Browser Forum,</span></u><span style="color:red"> </span>so that the CA/Browser Forum may <u><span style="color:red">consider possible revisions to these</span></u> Requirements accordingly.<u></u><u></u></p><p class="MsoNormal"><u><span style="color:red">Any CA that wants to deviate from any mandatory requirement of these Requirements as written on the basis of this Section 9.16.3 must list all such non-conformity (including a reference to the specific Requirement(s) subject to deviation) in Section 9.16.3 of the CA’s CPS before deviating from the Requirement(s), and include in such disclosure the facts, circumstances, and law(s) involved. </span></u><u></u><u></u></p></div></div></div></div><p class="MsoNormal" style="margin-bottom:12pt"><br>_______________________________________________<br>Public mailing list<br><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/listinfo/public</a><u></u><u></u></p></blockquote></div><p class="MsoNormal"><u></u> <u></u></p></div></div></div><p class="MsoNormal"><br><br><br><u></u><u></u></p><pre>_______________________________________________<u></u><u></u></pre><pre>Public mailing list<u></u><u></u></pre><pre><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><u></u><u></u></pre><pre><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/listinfo/public</a><u></u><u></u></pre></blockquote><p class="MsoNormal"><u></u> <u></u></p></div></div></div></div><br>_______________________________________________<br>
Public mailing list<br>
<a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br>
<a href="https://cabforum.org/mailman/listinfo/public" rel="noreferrer" target="_blank">https://cabforum.org/mailman/listinfo/public</a><br>
<br></blockquote></div><br><br clear="all"><div><br></div>-- <br><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><div><a href="https://konklone.com" target="_blank">konklone.com</a> | <a href="https://twitter.com/konklone" target="_blank">@konklone</a><br></div></div></div></div></div></div></div>
</div></div>