<div dir="ltr"><br><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Apr 26, 2017 at 8:12 PM, Kirk Hall <span dir="ltr"><<a href="mailto:Kirk.Hall@entrustdatacard.com" target="_blank">Kirk.Hall@entrustdatacard.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">





<div lang="EN-US" link="blue" vlink="purple">
<div class="m_-1556196542143535776WordSection1">
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">Ryan, you kind of skipped over a core rationale for this draft ballot – that it’s somehow too hard to audit DTPs (at least as to their domain validation activities).  Why is
 it too hard?<u></u><u></u></span></p><span class="">
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"><u></u> <u></u></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">Here is what the Purpose section of the ballot says:<u></u><u></u></span></p>
<p class="MsoNormal" style="margin-left:.5in"><b><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">Purpose of Ballot:
</span></b><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">At the moment, CAs are permitted to delegate the process of domain and IP address validation.
<b><u>However, permitting such delegations is problematic due to the way audits work - the auditing of such work may or may not be required and, if it is, those audit documents may not make it back to root programs for consideration</u></b>. Although the audit
 situation also needs fixing, domain validation is an important enough component of a CA's core competencies that it seems wiser to remove it from the larger problem and forbid its delegation. The purpose of this ballot is to ensure that CAs or their Affiliates
 are always the ones performing domain/IP address ownership validation for certificates that CA is responsible for.<u></u><u></u></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"><u></u> <u></u></span></p>
</span><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">Can you and/or Gerv explain why auditing of DTPs can’t be fixed? </span></p></div></div></blockquote><div><br></div><div>I'm not sure I understand the purpose of your question, or how that helps us make productive discussion. We actually spent quite a bit of time explaining this at the F2F, but you may have stepped out of the room. I know you were there for part of it, but perhaps there were other things you were focused on.</div><div><br></div><div>Let's say that neither Gerv and I are mistating the difficulty - that it is difficult, and that it won't happen in a timely fashion to the security concerns - do you believe this ballot would cause any harm to Entrust's operations that we should be aware of? Do you believe this would present difficulty to adopt?</div><div><br></div><div>The answers to those questions help inform and make progress. I can appreciate that you're curious to understand, and while I don't want to discourage that, I must admit I find it somewhat disheartening that you did not participate in the discussions in which this has been explained, or the discussions with our auditor friends on this matter. Recognizing this, it might be useful for a good faith discussion to assume we're telling the truth, and focus on the outcome, rather than the rationale, that way, even if you disagree with the rationale, if the outcome does not negatively affect Entrust's operations, it's a net win. It also reduces the amount of emails for members who have been following and participating in these discussions, understand the concerns, and are rightfully focused on minimizing impact.</div></div></div></div>