<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Thu, Apr 20, 2017 at 12:24 PM, Gervase Markham <span dir="ltr"><<a href="mailto:gerv@mozilla.org" target="_blank">gerv@mozilla.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Sure. That's what my rules say too. But how does this apply to actions<br>
which are not part of certificate issuance? This is why I felt a<br>
generalisation of the rule was needed.<br></blockquote><div><br></div><div>Data gathering and verification are very much parts of certificate issuance. So is operation of an OCSP responder or issuance of CRLs, or the maintenance of audit logs.</div><div><br></div><div>The default is that, at any point in time, everything the CA does must be consistent with the current and complete text. If the text says information can be reused, then it can only be reused if and only if it's consistent with the text. If the text explicitly defines ways in which can be reused - for example, using 'until' or 'prior' - then it's consistent with the text. In the absence of that, the resolution of any ambiguity must be "Can everything involved in the production of this certificate, all information attested in it, and all operations performed by the CA, be demonstrated as consistent with the current language."</div><div><br></div><div>This isn't the first time the Forum has had this discussion. If you recall, there was quite a similar debate about whether "rekey" constitutes issuance, with the conclusion being that of course the production of a new certificate, regardless of the key material being attested, constitutes a new certificate, and thereby must be compliant with the rules and profiles of new certificates. Were that not the case, we'd still be seeing SHA-1 certificates signed, as they would be "rekey" operations, not the act of signing new certificates.</div></div></div></div>