<div dir="ltr">Greetings,<div><br></div><div>At the face to face meeting in Bilbao we heard there's still a need for new SHA-1 certs from some sectors, most notably the payment industry, to avoid outages of critical systems with real world impact.  We discussed if there was a way we might balance these cases against the vitally important need to ensure the security and safety of the public PKI.</div><div><br></div><div>Please take a look at the proposed procedure, attached.  It outlines a way for CAs to request an exceptional SHA-1 issuance, including details which would help with a risk management decision.  It's not a guaranty that any such issuance would be acceptable, but provides a more structured approach than what's already occurred this year, e.g. with worldpay.</div><div><br></div><div>I look forward to comments.</div><div><br></div><div>Cheers,</div><div><br></div><div>Andrew</div><div><br></div></div>