<div dir="ltr">Reposting for Richard.</div><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Apr 6, 2017 at 3:44 PM, Richard Moore <span dir="ltr"><<a href="mailto:rich@kde.org" target="_blank">rich@kde.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="gmail_default" style="font-family:verdana,sans-serif">I'm including Ryan since he's said before he's willing to forward things to the CAB list. Comments inline.</div><div class="gmail_extra"><br><div class="gmail_quote"><span class="">On 6 April 2017 at 18:46, philliph--- via Public <span dir="ltr"><<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div style="word-wrap:break-word"><div>Some observations:</div><div><br></div><div>* Any solution is going to have to involve some form of forward acting statement ‘do this for the next X hours’.</div><div><br></div></div></blockquote><div><br></div></span><div><div class="gmail_default" style="font-family:verdana,sans-serif">​Yes​</div><br></div><span class=""><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div style="word-wrap:break-word"><div></div><div>* We now have two mechanisms that are viable as publication infrastructures - DNS and CT</div></div></blockquote><div><br></div></span><div class="gmail_default" style="font-family:verdana,sans-serif">​Since accessing the CT logs involves DNS, we have approximately one but two formats to represent the data.</div><span class=""><div class="gmail_default" style="font-family:verdana,sans-serif"><br></div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div style="word-wrap:break-word"><div></div><div>* The problems with pinning are real, very few companies can risk shutting themselves down for an extended period if they goof. The problem with pinning is that the time period really does need to be fairly long if it is to be any use. I do not visit my bank every day. I probably don’t visit for a month at times.</div><div><br></div></div></blockquote><div><br></div></span><div><div class="gmail_default" style="font-family:verdana,sans-serif">​While I agree about the risk of error I think your analysis is wrong. If a bunch of people all have the forward looking statement then any one of them visiting the site and triggering the error can inform the others. An example of this in practice is the use of certificate pinning for google properties which have successfully notified people other than the victim of an attack that an attack was taking place. Having a solution that offered protection to the majority would be an improvement when considering the case of an individual (who might not visit a site very often).</div><div class="gmail_default" style="font-family:verdana,sans-serif"><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">For this specific situation I t​hink expecting the endpoint to refresh their pinning information regularly would be entirely reasonable.</div><br></div><span class=""><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div style="word-wrap:break-word"><div></div><div>* A weaker criteria such as ‘must get an EV cert’ or a much shorter time period than is needed for pinning (24 hours) is much more likely to be acceptable</div><div><br></div><div><br></div></div></blockquote><div><br></div></span><div><div class="gmail_default" style="font-family:verdana,sans-serif">​This is only a consideration if you agree with the preceding comment.</div><div class="gmail_default" style="font-family:verdana,sans-serif"><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">Regards</div><div class="gmail_default" style="font-family:verdana,sans-serif"><br></div><div class="gmail_default" style="font-family:verdana,sans-serif">Rich.​</div></div></div><br></div></div>
</blockquote></div><br></div>