<div dir="ltr">I'm not trying to disagree here, but I'm trying to find out how we can best specify reasonable expectations.<div><br></div><div>That is, there's a lot - a *lot* - that can go wrong with 1 year OCSP responders/CRLs. So if we're going to allow them, we need CAs to think about the technical risks and make proactive suggestions on how best to codify that. Because just a blanket "1 year responder" can go very wrong</div></div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, May 10, 2017 at 4:40 PM, Ben Wilson via Public <span dir="ltr"><<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div lang="EN-US" link="blue" vlink="purple"><div class="m_7850171928828818567WordSection1"><p class="MsoNormal"><a name="m_7850171928828818567__MailEndCompose"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">I agree that a one-year validity for OCSP Responders / CRLs is a reasonable timeframe for off-line CAs.  <u></u><u></u></span></a></p><p class="MsoNormal"><span><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"><u></u> <u></u></span></span></p><div><p class="MsoNormal" style="margin-bottom:2.0pt"><span><b><span style="font-size:11.0pt;font-family:"Arial",sans-serif;color:#0174c3">Ben Wilson, JD, CISA, CISSP<u></u><u></u></span></b></span></p><p class="MsoNormal" style="margin-bottom:2.0pt"><span><span style="font-size:11.0pt;font-family:"Arial",sans-serif;color:#686869">VP Compliance<u></u><u></u></span></span></p><p class="MsoNormal" style="margin-bottom:2.0pt"><span><span style="font-size:11.0pt;font-family:"Arial",sans-serif;color:#686869"><a href="tel:(801)%20701-9678" value="+18017019678" target="_blank">+1 801 701 9678</a><u></u><u></u></span></span></p><p class="MsoNormal"><span><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"><img width="133" height="29" style="width:1.3875in;height:.3in" id="m_7850171928828818567Picture_x0020_1" src="cid:image001.jpg@01D2C99B.55B4C5B0"><u></u><u></u></span></span></p></div><p class="MsoNormal"><span><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"><u></u> <u></u></span></span></p><span></span><div><div style="border:none;border-top:solid #e1e1e1 1.0pt;padding:3.0pt 0in 0in 0in"><p class="MsoNormal"><b><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">From:</span></b><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"> Public [mailto:<a href="mailto:public-bounces@cabforum.org" target="_blank">public-bounces@<wbr>cabforum.org</a>] <b>On Behalf Of </b>Doug Beattie via Public<br><b>Sent:</b> Wednesday, May 10, 2017 11:15 AM<span class=""><br><b>To:</b> CA/Browser Forum Public Discussion List <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br></span><b>Cc:</b> Doug Beattie <<a href="mailto:doug.beattie@globalsign.com" target="_blank">doug.beattie@globalsign.com</a>></span></p><div><div class="h5"><br><b>Subject:</b> Re: [cabfpub] Profiling OCSP & CRLs<u></u><u></u></div></div><p></p></div></div><div><div class="h5"><p class="MsoNormal"><u></u> <u></u></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d">There are CAs that are kept off-line other than roots, so perhaps the requirement should apply to all “off-line” CAs, assuming we can come to agreement on what that means.<u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d"><u></u> <u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d">Doug<u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d"><u></u> <u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d"><u></u> <u></u></span></p><div style="border:none;border-left:solid blue 1.5pt;padding:0in 0in 0in 4.0pt"><div><div style="border:none;border-top:solid #e1e1e1 1.0pt;padding:3.0pt 0in 0in 0in"><p class="MsoNormal"><b><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">From:</span></b><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"> Public [<a href="mailto:public-bounces@cabforum.org" target="_blank">mailto:public-bounces@<wbr>cabforum.org</a>] <b>On Behalf Of </b>Peter Bowen via Public<br><b>Sent:</b> Wednesday, May 10, 2017 1:09 PM<br><b>To:</b> CA/Browser Forum Public Discussion List <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br><b>Cc:</b> Peter Bowen <<a href="mailto:pzb@amzn.com" target="_blank">pzb@amzn.com</a>><br><b>Subject:</b> Re: [cabfpub] Profiling OCSP & CRLs<u></u><u></u></span></p></div></div><p class="MsoNormal"><u></u> <u></u></p><div><p class="MsoNormal">Ryan,<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">This seems reasonable when you are dealing with an online CA. When you are dealing with a root CA, it is currently reasonable to only bring it online once a year to update the CRL, as that is the required frequency.  For many offline CAs it is quite a production to use the HSM, so I think the maximum duration of delegated responder certificates signed by root CAs should be at least a year.<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">Thanks,<u></u><u></u></p></div><div><p class="MsoNormal">Peter<u></u><u></u></p></div><p class="MsoNormal"><u></u> <u></u></p><div><blockquote style="margin-top:5.0pt;margin-bottom:5.0pt"><div><p class="MsoNormal">On May 8, 2017, at 4:51 PM, Ryan Sleevi via Public <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>> wrote:<u></u><u></u></p></div><p class="MsoNormal"><u></u> <u></u></p><div><div><p class="MsoNormal">I think 30 days is what we should target as the upper-bound, so would that be suggesting that we should target 15 days as a SHOULD with 30 as a MUST?<u></u><u></u></p><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">Or were you suggesting 30 as a SHOULD, 45 as a MUST, which in practice means... well, 45? :)<u></u><u></u></p></div></div><div><p class="MsoNormal"><u></u> <u></u></p><div><p class="MsoNormal">On Thu, Apr 27, 2017 at 12:57 PM, Curt Spann <<a href="mailto:cspann@apple.com" target="_blank">cspann@apple.com</a>> wrote:<u></u><u></u></p><blockquote style="border:none;border-left:solid #cccccc 1.0pt;padding:0in 0in 0in 6.0pt;margin-left:4.8pt;margin-top:5.0pt;margin-right:0in;margin-bottom:5.0pt"><div><p class="MsoNormal">Hi Ryan,<u></u><u></u></p><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">Regarding delegated OCSP responder certificate validity, if 30 days is a desired goal (or a similar timeframe), I would recommend 45 days to allow the renewal to occur every 30 days, with a 15 day buffer for operational issues. Basically, for whatever target validity period we should add some buffer time.<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">Cheers,<u></u><u></u></p></div><div><p class="MsoNormal">Curt<u></u><u></u></p></div><div><div><p class="MsoNormal" style="margin-bottom:12.0pt"><u></u> <u></u></p><blockquote style="margin-top:5.0pt;margin-bottom:5.0pt"><div><div><div><p class="MsoNormal">On Apr 25, 2017, at 4:53 PM, Ryan Sleevi via Public <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>> wrote:<u></u><u></u></p></div><p class="MsoNormal"><u></u> <u></u></p></div></div><div><div><div><div><p class="MsoNormal">Hi folks,<u></u><u></u></p><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">In response to various investigations about OCSP performance, operation, and trying to figure out how we can move to a world of more ubiquitous OCSP stapling, one of the things that comes up is that OCSP responses are very much like the pre-BR wild-west of certificates.<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">I've tried to capture a starting point for discussion at <a href="https://github.com/sleevi/cabforum-docs/pull/2/files?diff=split" target="_blank">https://github.com/sleevi/<wbr>cabforum-docs/pull/2/files?<wbr>diff=split</a> . I've tried to annotate the changes, and the reason for the changes, so that people can understand them, their goals, and the implications.<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">While I'd like to get this to the point of a Ballot, it's not quite there yet. In particular, it doesn't state Effective Dates, because I want to get a sense of the challenges that each bit may pose :)<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">If people find this approach useful, I'd like to also reform the CRL profile in a similar fashion.<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">There's also a lot of ways to express these requirements. I considered using a table approach, which I suspect some of our ETSI-audited CA members will be familiar with, and which I find useful, but I thought it best to keep the initial discussions simple and textual, and then we can make it pretty once we're happy with the substance.<u></u><u></u></p></div></div></div></div><p class="MsoNormal">______________________________<wbr>_________________<br>Public mailing list<br><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/<wbr>listinfo/public</a><u></u><u></u></p></div></blockquote></div><p class="MsoNormal"><u></u> <u></u></p></div></div></blockquote></div><p class="MsoNormal"><u></u> <u></u></p></div><p class="MsoNormal">______________________________<wbr>_________________<br>Public mailing list<br><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/<wbr>listinfo/public</a><u></u><u></u></p></div></blockquote></div><p class="MsoNormal"><u></u> <u></u></p></div></div></div></div></div><br>______________________________<wbr>_________________<br>
Public mailing list<br>
<a href="mailto:Public@cabforum.org">Public@cabforum.org</a><br>
<a href="https://cabforum.org/mailman/listinfo/public" rel="noreferrer" target="_blank">https://cabforum.org/mailman/<wbr>listinfo/public</a><br>
<br></blockquote></div><br></div>