<div dir="ltr">Well, the BRs already require it :) I thought you meant removing that requirement :)</div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, May 10, 2017 at 5:24 PM, Ben Wilson <span dir="ltr"><<a href="mailto:ben.wilson@digicert.com" target="_blank">ben.wilson@digicert.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div lang="EN-US" link="blue" vlink="purple"><div class="m_-2422549015968756960WordSection1"><p class="MsoNormal"><a name="m_-2422549015968756960__MailEndCompose">Oh. OK. Never mind then. As long as it’s allowed.  I wasn’t aware that so much had been done on GitHub.</a><span><u></u><u></u></span></p><p class="MsoNormal"><span><u></u> <u></u></span></p><span></span><p class="MsoNormal"><span class=""><b>From:</b> Ryan Sleevi [mailto:<a href="mailto:sleevi@google.com" target="_blank">sleevi@google.com</a>] <br></span><b>Sent:</b> Wednesday, May 10, 2017 3:15 PM<br><b>To:</b> Ben Wilson <<a href="mailto:ben.wilson@digicert.com" target="_blank">ben.wilson@digicert.com</a>><br><b>Cc:</b> CA/Browser Forum Public Discussion List <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>></p><div><div class="h5"><br><b>Subject:</b> Re: [cabfpub] Profiling OCSP & CRLs<u></u><u></u></div></div><p></p><div><div class="h5"><p class="MsoNormal"><u></u> <u></u></p><div><p class="MsoNormal">What would you like to discuss about it? It's already required.<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p><div><p class="MsoNormal">On Wed, May 10, 2017 at 5:00 PM, Ben Wilson <<a href="mailto:ben.wilson@digicert.com" target="_blank">ben.wilson@digicert.com</a>> wrote:<u></u><u></u></p><blockquote style="border:none;border-left:solid #cccccc 1.0pt;padding:0in 0in 0in 6.0pt;margin-left:4.8pt;margin-right:0in"><div><div><p class="MsoNormal"><a name="m_-2422549015968756960_m_2033113626157669860__MailEndCompose">One thing that hasn’t been discussed is the use of the OCSP no-check extension.</a><u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal" style="margin-bottom:2.0pt"><b><span style="font-family:"Arial",sans-serif;color:#0174c3">Ben Wilson, JD, CISA, CISSP</span></b><u></u><u></u></p><p class="MsoNormal" style="margin-bottom:2.0pt"><span style="font-family:"Arial",sans-serif;color:#686869">VP Compliance</span><u></u><u></u></p><p class="MsoNormal" style="margin-bottom:2.0pt"><span style="font-family:"Arial",sans-serif;color:#686869"><a href="tel:(801)%20701-9678" target="_blank">+1 801 701 9678</a></span><u></u><u></u></p><p class="MsoNormal"><img border="0" width="133" height="29" style="width:1.3833in;height:.3041in" id="m_-2422549015968756960m_2033113626157669860Picture_x0020_1" src="cid:image002.jpg@01D2C9A1.3E32F410"><u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal"><b>From:</b> Ryan Sleevi [mailto:<a href="mailto:sleevi@google.com" target="_blank">sleevi@google.com</a>] <br><b>Sent:</b> Wednesday, May 10, 2017 2:58 PM<br><b>To:</b> CA/Browser Forum Public Discussion List <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br><b>Cc:</b> Ben Wilson <<a href="mailto:ben.wilson@digicert.com" target="_blank">ben.wilson@digicert.com</a>><u></u><u></u></p><div><div><p class="MsoNormal"><br><b>Subject:</b> Re: [cabfpub] Profiling OCSP & CRLs<u></u><u></u></p></div></div><div><div><p class="MsoNormal"> <u></u><u></u></p><div><p class="MsoNormal">I'm not trying to disagree here, but I'm trying to find out how we can best specify reasonable expectations.<u></u><u></u></p><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">That is, there's a lot - a *lot* - that can go wrong with 1 year OCSP responders/CRLs. So if we're going to allow them, we need CAs to think about the technical risks and make proactive suggestions on how best to codify that. Because just a blanket "1 year responder" can go very wrong<u></u><u></u></p></div></div><div><p class="MsoNormal"> <u></u><u></u></p><div><p class="MsoNormal">On Wed, May 10, 2017 at 4:40 PM, Ben Wilson via Public <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>> wrote:<u></u><u></u></p><blockquote style="border:none;border-left:solid #cccccc 1.0pt;padding:0in 0in 0in 6.0pt;margin-left:4.8pt;margin-top:5.0pt;margin-right:0in;margin-bottom:5.0pt"><div><div><p class="MsoNormal"><a name="m_-2422549015968756960_m_2033113626157669860_m_7850171928828818">I agree that a one-year validity for OCSP Responders / CRLs is a reasonable timeframe for off-line CAs.  </a><u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><div><p class="MsoNormal" style="margin-bottom:2.0pt"><b><span style="font-family:"Arial",sans-serif;color:#0174c3">Ben Wilson, JD, CISA, CISSP</span></b><u></u><u></u></p><p class="MsoNormal" style="margin-bottom:2.0pt"><span style="font-family:"Arial",sans-serif;color:#686869">VP Compliance</span><u></u><u></u></p><p class="MsoNormal" style="margin-bottom:2.0pt"><span style="font-family:"Arial",sans-serif;color:#686869"><a href="tel:(801)%20701-9678" target="_blank">+1 801 701 9678</a></span><u></u><u></u></p><p class="MsoNormal"><img border="0" width="133" height="29" style="width:1.3875in;height:.3in" id="m_-2422549015968756960m_2033113626157669860m_7850171928828818567Picture_x0020_1" src="cid:image004.jpg@01D2C9A1.3E32F410"><u></u><u></u></p></div><p class="MsoNormal"> <u></u><u></u></p><div><div style="border:none;border-top:solid #e1e1e1 1.0pt;padding:3.0pt 0in 0in 0in"><p class="MsoNormal"><b>From:</b> Public [mailto:<a href="mailto:public-bounces@cabforum.org" target="_blank">public-bounces@<wbr>cabforum.org</a>] <b>On Behalf Of </b>Doug Beattie via Public<br><b>Sent:</b> Wednesday, May 10, 2017 11:15 AM<br><b>To:</b> CA/Browser Forum Public Discussion List <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br><b>Cc:</b> Doug Beattie <<a href="mailto:doug.beattie@globalsign.com" target="_blank">doug.beattie@globalsign.com</a>><u></u><u></u></p><div><div><p class="MsoNormal"><br><b>Subject:</b> Re: [cabfpub] Profiling OCSP & CRLs<u></u><u></u></p></div></div></div></div><div><div><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal"><span style="color:#1f497d">There are CAs that are kept off-line other than roots, so perhaps the requirement should apply to all “off-line” CAs, assuming we can come to agreement on what that means.</span><u></u><u></u></p><p class="MsoNormal"><span style="color:#1f497d"> </span><u></u><u></u></p><p class="MsoNormal"><span style="color:#1f497d">Doug</span><u></u><u></u></p><p class="MsoNormal"><span style="color:#1f497d"> </span><u></u><u></u></p><p class="MsoNormal"><span style="color:#1f497d"> </span><u></u><u></u></p><div style="border:none;border-left:solid blue 1.5pt;padding:0in 0in 0in 4.0pt"><div><div style="border:none;border-top:solid #e1e1e1 1.0pt;padding:3.0pt 0in 0in 0in"><p class="MsoNormal"><b>From:</b> Public [<a href="mailto:public-bounces@cabforum.org" target="_blank">mailto:public-bounces@<wbr>cabforum.org</a>] <b>On Behalf Of </b>Peter Bowen via Public<br><b>Sent:</b> Wednesday, May 10, 2017 1:09 PM<br><b>To:</b> CA/Browser Forum Public Discussion List <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br><b>Cc:</b> Peter Bowen <<a href="mailto:pzb@amzn.com" target="_blank">pzb@amzn.com</a>><br><b>Subject:</b> Re: [cabfpub] Profiling OCSP & CRLs<u></u><u></u></p></div></div><p class="MsoNormal"> <u></u><u></u></p><div><p class="MsoNormal">Ryan,<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">This seems reasonable when you are dealing with an online CA. When you are dealing with a root CA, it is currently reasonable to only bring it online once a year to update the CRL, as that is the required frequency.  For many offline CAs it is quite a production to use the HSM, so I think the maximum duration of delegated responder certificates signed by root CAs should be at least a year.<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Thanks,<u></u><u></u></p></div><div><p class="MsoNormal">Peter<u></u><u></u></p></div><p class="MsoNormal"> <u></u><u></u></p><div><blockquote style="margin-top:5.0pt;margin-bottom:5.0pt"><div><p class="MsoNormal">On May 8, 2017, at 4:51 PM, Ryan Sleevi via Public <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>> wrote:<u></u><u></u></p></div><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal">I think 30 days is what we should target as the upper-bound, so would that be suggesting that we should target 15 days as a SHOULD with 30 as a MUST?<u></u><u></u></p><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Or were you suggesting 30 as a SHOULD, 45 as a MUST, which in practice means... well, 45? :)<u></u><u></u></p></div></div><div><p class="MsoNormal"> <u></u><u></u></p><div><p class="MsoNormal">On Thu, Apr 27, 2017 at 12:57 PM, Curt Spann <<a href="mailto:cspann@apple.com" target="_blank">cspann@apple.com</a>> wrote:<u></u><u></u></p><blockquote style="border:none;border-left:solid #cccccc 1.0pt;padding:0in 0in 0in 6.0pt;margin-left:4.8pt;margin-top:5.0pt;margin-right:0in;margin-bottom:5.0pt"><div><p class="MsoNormal">Hi Ryan,<u></u><u></u></p><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Regarding delegated OCSP responder certificate validity, if 30 days is a desired goal (or a similar timeframe), I would recommend 45 days to allow the renewal to occur every 30 days, with a 15 day buffer for operational issues. Basically, for whatever target validity period we should add some buffer time.<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Cheers,<u></u><u></u></p></div><div><p class="MsoNormal">Curt<u></u><u></u></p></div><div><div><p class="MsoNormal" style="margin-bottom:12.0pt"> <u></u><u></u></p><blockquote style="margin-top:5.0pt;margin-bottom:5.0pt"><div><div><div><p class="MsoNormal">On Apr 25, 2017, at 4:53 PM, Ryan Sleevi via Public <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>> wrote:<u></u><u></u></p></div><p class="MsoNormal"> <u></u><u></u></p></div></div><div><div><div><div><p class="MsoNormal">Hi folks,<u></u><u></u></p><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">In response to various investigations about OCSP performance, operation, and trying to figure out how we can move to a world of more ubiquitous OCSP stapling, one of the things that comes up is that OCSP responses are very much like the pre-BR wild-west of certificates.<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">I've tried to capture a starting point for discussion at <a href="https://github.com/sleevi/cabforum-docs/pull/2/files?diff=split" target="_blank">https://github.com/sleevi/<wbr>cabforum-docs/pull/2/files?<wbr>diff=split</a> . I've tried to annotate the changes, and the reason for the changes, so that people can understand them, their goals, and the implications.<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">While I'd like to get this to the point of a Ballot, it's not quite there yet. In particular, it doesn't state Effective Dates, because I want to get a sense of the challenges that each bit may pose :)<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">If people find this approach useful, I'd like to also reform the CRL profile in a similar fashion.<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">There's also a lot of ways to express these requirements. I considered using a table approach, which I suspect some of our ETSI-audited CA members will be familiar with, and which I find useful, but I thought it best to keep the initial discussions simple and textual, and then we can make it pretty once we're happy with the substance.<u></u><u></u></p></div></div></div></div><p class="MsoNormal">______________________________<wbr>_________________<br>Public mailing list<br><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/<wbr>listinfo/public</a><u></u><u></u></p></div></blockquote></div><p class="MsoNormal"> <u></u><u></u></p></div></div></blockquote></div><p class="MsoNormal"> <u></u><u></u></p></div><p class="MsoNormal">______________________________<wbr>_________________<br>Public mailing list<br><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/<wbr>listinfo/public</a><u></u><u></u></p></div></blockquote></div><p class="MsoNormal"> <u></u><u></u></p></div></div></div></div></div><p class="MsoNormal" style="margin-bottom:12.0pt"><br>______________________________<wbr>_________________<br>Public mailing list<br><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/<wbr>listinfo/public</a><u></u><u></u></p></blockquote></div><p class="MsoNormal"> <u></u><u></u></p></div></div></div></div></div></blockquote></div><p class="MsoNormal"><u></u> <u></u></p></div></div></div></div></div></blockquote></div><br></div>