<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Fri, Mar 24, 2017 at 11:53 PM, Rick Andrews via Public <span dir="ltr"><<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>></span> wrote:<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div lang="EN-US"><div class="gmail-m_3172760835656305965WordSection1"><p class="MsoNormal"><span style="color:rgb(68,84,106)">“Note: IP Addresses are <wbr>listed in Subscriber <wbr>Certificates using iPAddress <wbr>in the subjectAltName <wbr>extension<u></u><u></u></span></p><p class="MsoNormal"><span style="color:rgb(68,84,106)">or in Subordinate CA <wbr>Certificates via iPAddress <wbr>field in the <wbr>permittedSubtress in the Name <wbr>Constraints<u></u><u></u></span></p><p class="MsoNormal"><span style="color:rgb(68,84,106)">extension.” They can also appear in the excludedSubtrees extension. (3.2.2.4 could also be updated to mention excludedSubtrees.)</span></p></div></div></blockquote><div><br></div><div>I disagree. In both cases, they do not need to be validated, because they are restrictions, not permissions.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div lang="EN-US"><div class="gmail-m_3172760835656305965WordSection1"><p class="MsoNormal"><span style="color:rgb(68,84,106)">“a Regional Internet Registry <wbr>(RIPE, APNIC, ARIN, AfriNIC, <wbr>LACNIC)”. Is this an exhaustive list? If not, we should add “etc” or some other indication that it’s not exhaustive.</span></p></div></div></blockquote><div><br></div><div>This is a well-understood and specific term of Internet infrastructure. <a href="https://www.iana.org/numbers">https://www.iana.org/numbers</a></div><div><br></div><div>With a defined process for extending that list - ICP-2 ( <a href="https://www.icann.org/resources/pages/new-rirs-criteria-2012-02-25-en">https://www.icann.org/resources/pages/new-rirs-criteria-2012-02-25-en</a> )</div><div><br></div><div>Which requires global coordination.</div><div> </div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div lang="EN-US"><div class="gmail-m_3172760835656305965WordSection1"><p class="MsoNormal"><span style="color:rgb(68,84,106)"><u></u><u></u></span></p><p class="MsoNormal"><span style="color:rgb(68,84,106)"><u></u> <u></u></span></p><p class="MsoNormal"><span style="color:rgb(68,84,106)">“confirming the presence of a <wbr>Request Token or Random Value <wbr>contained in the content of a <wbr>file or<u></u><u></u></span></p><p class="MsoNormal"><span style="color:rgb(68,84,106)">webpage in the form of a meta <wbr>tag of the following…” I’ve always had trouble parsing this – is a meta tag required? Depends on whether you interpret it as:<u></u><u></u></span></p><p class="gmail-m_3172760835656305965MsoListParagraph"><u></u><span style="color:rgb(68,84,106)"><span>-<span style="font-style:normal;font-variant-ligatures:normal;font-variant-caps:normal;font-weight:normal;font-stretch:normal;font-size:7pt;line-height:normal;font-family:"times new roman"">          </span></span></span><u></u><span style="color:rgb(68,84,106)">“…contained in the content of <wbr>a file, or webpage in the form of a meta <wbr>tag, of the following…”<u></u><u></u></span></p><p class="gmail-m_3172760835656305965MsoListParagraph"><u></u><span style="color:rgb(68,84,106)"><span>-<span style="font-style:normal;font-variant-ligatures:normal;font-variant-caps:normal;font-weight:normal;font-stretch:normal;font-size:7pt;line-height:normal;font-family:"times new roman"">          </span></span></span><u></u><span style="color:rgb(68,84,106)">“…contained in the content of <wbr>a (file or webpage) in the form of a meta tag of <wbr>the following…”<u></u><u></u></span></p><p class="MsoNormal"><span style="color:rgb(68,84,106)">I prefer the former interpretation, because I see no harm in just using a file with no HTML in it. How do you interpret it?</span></p></div></div></blockquote><div><br></div><div>Can you suggest how to clarify this?</div><div><br></div><div>For example, does a meta tag refer to the <meta> element of HTML, PDF metadata, JPG metadata, or any other form of tag-structured file format which has the concept of 'meta'?</div><div><br></div><div>This would suggest that even the former interpretation is incomplete.</div><div><br></div><div>Is the content contained within the file, or is it the sum totality of the file? For example, can I create a polyglot file to embed my content in the file format of my choice? </div><div><br></div><div>To be clear: I fully support maximum prescriptivity here, even to the extent of describing an exact technical algorithm that the CA must perform to validate according to this section (... or any section). I just figured every CA in the Forum would vote against any efforts to tighten up the definition to remove any of these ambiguities by ensuring that the Baseline Requirements were a full technical profile.</div></div></div></div>