
<html><head><meta http-equiv="Content-Type" content="text/html charset=utf-8"></head><body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space;" class=""><br class=""><div><blockquote type="cite" class=""><div class="">On Feb 10, 2017, at 11:38 AM, Ryan Sleevi <<a href="mailto:sleevi@google.com" class="">sleevi@google.com</a>> wrote:</div><div class=""><div dir="ltr" class=""><br class=""><div class="gmail_extra"><div class="gmail_quote">On Fri, Feb 10, 2017 at 8:19 AM, <a href="mailto:philliph@comodo.com" class="">philliph@comodo.com</a> <span dir="ltr" class=""><<a href="mailto:philliph@comodo.com" target="_blank" class="">philliph@comodo.com</a>></span> wrote:<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span class="">

> Unfortunately, the flaw in your argument starts here, and unfortunately invalidates the rest of it.<br class="">

<br class="">

</span>I really don’t think you help your case with that type of talk.<br class=""></blockquote><div class=""><br class=""></div><div class="">Similarly, I'm not sure how abstract talk about the mathematical mesh really helps identify or resolve the problems we've identified.</div></div></div></div></div></blockquote><div><br class=""></div><div>The only mention I made of the Mesh was when I gave a practical example of the site being down due to the botched automation at my Web Hosting provider. Since when is providing an example of an actual system failure abstract?</div><div><br class=""></div><br class=""><blockquote type="cite" class=""><div class=""><div dir="ltr" class=""><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">I have read the threads and I find that each time someone tries to pin you down on an argument you skate away and claim that you were actually arguing something different.<br class=""></blockquote><div class=""><br class=""></div><div class="">No - I'm highlighting that your approach to trying to present it as "There's only these two reasons" is flawed,</div></div></div></div></div></blockquote><div><br class=""></div><div>So state the alternative reason concisely in reply. Instead you complain that I am failing to engage in arguments you think you have made but I do not see in your posts.</div><div><br class=""></div><div><br class=""></div><blockquote type="cite" class=""><div dir="ltr" class=""><div class="gmail_extra"><div class="gmail_quote"><div class="">I can understand why you believe your solution is right - and indeed, if it were that simple, it might very well be. But unfortunately, your understanding of the problem is wrong, and thus the solution you advance is for a different problem.</div><div class=""><br class=""></div><div class="">This is not being cagey - this is reiterating to you that we cannot ignore y, z, a or b. </div></div></div></div></blockquote><div><br class=""></div><div>If you refuse to state them, how can we do anything other than ignore what you won’t cite?</div><div><br class=""></div><div>You then posted two links in response, the first of which was arguing that shortening the lifecycle does not impose an additional administrative burden. Whether or not that is true, the post gave no argument for making the change. The second was about SHA-1 which was precisely covered by the second of my bullet points.</div><div><br class=""></div><div>So what are these other reasons that I am ignoring?</div><div><br class=""></div><div><br class=""></div><blockquote type="cite" class=""><div class=""><div dir="ltr" class=""><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Arguing that the point has been answered elsewhere seems to be the only mode of argument you wish to engage in.<br class=""></blockquote><div class=""><br class=""></div><div class="">Well, when you insist on ignoring the fact that the point has been repeatedly addressed, what else is there? </div></div></div></div></div></blockquote><div><br class=""></div><div>No, I don’t think it has. Just more of this pointless meta-discussion.</div><div><br class=""></div><div>Arguing that the issue has already been argued is a classic tactic in agenda denial. You may think that you have made a different case but I am not seeing it.</div><div><br class=""></div><br class=""><blockquote type="cite" class=""><div class=""><div dir="ltr" class=""><div class="gmail_extra"><div class="gmail_quote"><div class="">By trying to understand where the previous remarks have left you confused or unsatisfied, we can perhaps reach a common understanding. However, by simply presenting strawman arguments - which are not the ones being advanced - so that you can demolish them, we aren't able to actually move forward.</div></div></div></div></div></blockquote><div><br class=""></div><div>Again, you are the proposer of this change. It is for you to state your argument concisely and with precision. At least half of the thread so far has been on the revocation issue that you say isn’t the motivation for the change. </div><div><br class=""></div><div><br class=""></div><blockquote type="cite" class=""><div class=""><div dir="ltr" class=""><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Which is cryptographic algorithm agility that you were trying to avoid engaging on.<br class=""></blockquote><div class=""><br class=""></div><div class="">Is that what you believe my response was?</div></div></div></div></div></blockquote><div><br class=""></div><div>My second bullet point was </div><div><br class=""></div><div>2) To enable changes to cryptographic algorithms or withdrawal of certain types of permitted algorithm class to take place more expeditiously.</div><div><br class=""></div><div>Since you were arguing that I had not addressed the point raised in your second link, it was sufficient to point out that I had in fact addressed cryptographic agility. But that was not the only type of agility that had been raised.</div><br class=""><blockquote type="cite" class=""><div class=""><div dir="ltr" class=""><div class="gmail_extra"><div class="gmail_quote"><div class=""> If so, how can I better communicate to you that my point was not that cryptographic algorithm agility was not important, but that it was not one of only two factors to argue for this case. Indeed, by examining the many _other_ cases where agility benefits us, independent of algorithm agility, you might hopefully realize that the problem is not _just_ algorithm agility, nor is it _primarily_ algorithm agility, but the systemic issues involved in any meaningful transition of any insecure practice - whether it be algorithm, domain validation, information vetting - or to the systematic introduction of any improvements - such as CAA, CT, EKUs, or normalized OIDs.</div></div></div></div></div></blockquote><div><br class=""></div><div>I would be a lot more willing to accept that argument if you were doing hardfail OCSP. PKIX and the WebPKI were designed to use revocation. As it turned out the original validation process was sufficiently robust to almost eliminate revocation for cause for the first decade of operation which led some peopler to the belief they could simply remove it. And now experience of the second decade of WebPKI has turned out differently they will look at absolutely any other change they could make rather than revisit that decision.</div><div><br class=""></div><br class=""><blockquote type="cite" class=""><div class=""><div dir="ltr" class=""><div class="gmail_extra"><div class="gmail_quote"><div class="">My point is that your solution, if it can be called that, only works because it's solving a different problem, by only constraining itself to one small part of the problem, and ignoring the systemic and symptomatic issues of the overall whole. I am not trying to tell you your answer is wrong for the problem you're setting out to solve, I'm telling you that you're solving a different problem, and due to it being only a subset of the overall issue, the wrong problem.</div></div></div></div>

</div></blockquote><br class=""></div><div>Well we agreed on that: "That said, even though the purpose of the proposal wasn’t revocation, the discussion of revocation highlights the fact that the lack of fully functioning hardfail revocation remains the major limitation in the WebPKI and we should fix that."</div><br class=""></body></html>