<div dir="ltr">This looks good to me.</div><div class="gmail_extra"><br><div class="gmail_quote">On Fri, Aug 25, 2017 at 9:00 AM, Phillip <span dir="ltr"><<a href="mailto:philliph@comodo.com" target="_blank">philliph@comodo.com</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div lang="EN-US" link="blue" vlink="purple"><div class="m_4981495021261636675WordSection1"><p class="MsoNormal" style="background:white"><span style="font-family:"Arial",sans-serif;color:#222222">​<u></u><u></u></span></p><p class="MsoNormal"><span style="font-family:"Arial",sans-serif;color:#222222;background:white">I will endorse for Comodo but I don’t think we are quite there yet :)</span><span style="font-family:"Arial",sans-serif;color:#222222"><br><br><br><span style="background:white">Some further wordsmithing:</span><br><br></span><span class=""><span lang="NO-BOK" style="font-size:9.5pt">> As part of the issuance process, the CA MUST check for a CAA record for each dNSName in the subjectAltName extension of the certificate to be issued, according to the procedure in RFC 6844 as amended by Errata 5065 (Appendix A), following the processing instructions set down in RFC 6844 for any records found. If the CA issues, they MUST do so within the TTL of the CAA record, or 8 hours, whichever is greater.</span><span lang="NO-BOK"><u></u><u></u></span></span></p><p class="MsoNormal"><span style="font-family:"Arial",sans-serif;color:#222222"><br><span style="background:white">As part of the issuance process, the CA MUST check for CAA records and follow the processing instructions for any records found, for each dNSName in the subjectAltName extension of the certificate to be issued, as specified in RFC 6844 as amended by Errata 5065 (Appendix A). If the CA issues, they MUST do so within the TTL of the CAA record, or 8 hours, whichever is greater.</span><br><br><br><span style="background:white">Basically, this is just taking the original text and moving the reference to the end for the instructions to which it applies. </span></span><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"><u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"><u></u> <u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">Any further changes?<u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"><u></u> <u></u></span></p><div><div style="border:none;border-top:solid #e1e1e1 1.0pt;padding:3.0pt 0in 0in 0in"><p class="MsoNormal"><b><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">From:</span></b><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"> Mads Egil Henriksveen [mailto:<a href="mailto:Mads.Henriksveen@buypass.no" target="_blank">Mads.Henriksveen@<wbr>buypass.no</a>] <br><b>Sent:</b> Friday, August 25, 2017 12:44 AM<br><b>To:</b> Jacob Hoffman-Andrews <<a href="mailto:jsha@letsencrypt.org" target="_blank">jsha@letsencrypt.org</a>>; Phillip <<a href="mailto:philliph@comodo.com" target="_blank">philliph@comodo.com</a>>; CA/Browser Forum Public Discussion List <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br><b>Cc:</b> Ryan Sleevi <<a href="mailto:sleevi@google.com" target="_blank">sleevi@google.com</a>><br><b>Subject:</b> RE: [cabfpub] FW: [Errata Held for Document Update] RFC6844 (5065)<u></u><u></u></span></p></div></div><div><div class="h5"><p class="MsoNormal"><u></u> <u></u></p><p class="MsoNormal"><span lang="NO-BOK" style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d"><u></u> <u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d">I will endorse for Buypass.<u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d"><u></u> <u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d">Regards<u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d">Mads<u></u><u></u></span></p><p class="MsoNormal"><span style="font-size:11.0pt;font-family:"Calibri",sans-serif;color:#1f497d"><u></u> <u></u></span></p><p class="MsoNormal"><b><span style="font-size:11.0pt;font-family:"Calibri",sans-serif">From:</span></b><span style="font-size:11.0pt;font-family:"Calibri",sans-serif"> Jacob Hoffman-Andrews [<a href="mailto:jsha@letsencrypt.org" target="_blank">mailto:jsha@letsencrypt.org</a>] <br><b>Sent:</b> fredag 25. august 2017 00:01<br><b>To:</b> Phillip <<a href="mailto:philliph@comodo.com" target="_blank">philliph@comodo.com</a>>; CA/Browser Forum Public Discussion List <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br><b>Cc:</b> Ryan Sleevi <<a href="mailto:sleevi@google.com" target="_blank">sleevi@google.com</a>>; Mads Egil Henriksveen <<a href="mailto:Mads.Henriksveen@buypass.no" target="_blank">Mads.Henriksveen@buypass.no</a>><br><b>Subject:</b> Re: [cabfpub] FW: [Errata Held for Document Update] RFC6844 (5065)<u></u><u></u></span></p><p class="MsoNormal"><span lang="NO-BOK"><u></u> <u></u></span></p><div><p class="MsoNormal"><span lang="NO-BOK">This looks good, and I will endorse for Let's Encrypt. Do we have another endorser present? I'd like to get this to a ballot quickly to minimize any end-user confusion over the specifics.<u></u><u></u></span></p><div><p class="MsoNormal"><span lang="NO-BOK"><u></u> <u></u></span></p></div><div><p class="MsoNormal"><span lang="NO-BOK" style="font-size:9.5pt">One small tweak to the new text:</span><span lang="NO-BOK"><u></u><u></u></span></p></div><div><p class="MsoNormal"><span lang="NO-BOK"><u></u> <u></u></span></p></div><div><p class="MsoNormal"><span lang="NO-BOK" style="font-size:9.5pt">> As part of the issuance process, the CA MUST check for a CAA record for each dNSName in the subjectAltName extension of the certificate to be issued, according to the procedure in RFC 6844 as amended by Errata 5065 (Appendix A), following the processing instructions set down in RFC 6844 for any records found. If the CA issues, they MUST do so within the TTL of the CAA record, or 8 hours, whichever is greater.</span><span lang="NO-BOK"><u></u><u></u></span></p></div><div><p class="MsoNormal"><span lang="NO-BOK"><u></u> <u></u></span></p></div><div><p class="MsoNormal"><span lang="NO-BOK" style="font-size:9.5pt">Since this references 6844 twice, it's slightly ambiguous. I would instead just reference it once:</span><span lang="NO-BOK"><u></u><u></u></span></p></div><div><p class="MsoNormal"><span lang="NO-BOK"><u></u> <u></u></span></p></div><div><p class="MsoNormal"><span lang="NO-BOK" style="font-size:9.5pt">> As part of the issuance process, the CA MUST check for a CAA record for each dNSName in the subjectAltName extension of the certificate to be issued, according to the procedure in RFC 6844 as amended by Errata 5065 (Appendix A). If the CA issues, they MUST do so within the TTL of the CAA record, or 8 hours, whichever is greater.</span><span lang="NO-BOK"><u></u><u></u></span></p></div><div><p class="MsoNormal"><span lang="NO-BOK"><u></u> <u></u></span></p></div></div><div><p class="MsoNormal"><span lang="NO-BOK"><u></u> <u></u></span></p><div><p class="MsoNormal"><span lang="NO-BOK">On Wed, Aug 23, 2017 at 10:12 AM, Phillip via Public <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>> wrote:<u></u><u></u></span></p><blockquote style="border:none;border-left:solid #cccccc 1.0pt;padding:0in 0in 0in 6.0pt;margin-left:4.8pt;margin-top:5.0pt;margin-right:0in;margin-bottom:5.0pt"><div><div><p class="MsoNormal">I am just working on wording for a proposal.<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">Proposal: Modify the Baseline Requirements v1.4.9 as follows:<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">3.2.2.8. CAA Records<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">Change:<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">As part of the issuance process, the CA MUST check for a CAA record for each dNSName in the subjectAltName extension of the certificate to be issued, according to the procedure in RFC 6844, following the processing instructions set down in RFC 6844 for any records found. If the CA issues, they MUST do so within the TTL of the CAA record, or 8 hours, whichever is greater.<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">To:<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">As part of the issuance process, the CA MUST check for a CAA record for each dNSName in the subjectAltName extension of the certificate to be issued, according to the procedure in RFC 6844 as amended by Errata 5065 (Appendix A), following the processing instructions set down in RFC 6844 for any records found. If the CA issues, they MUST do so within the TTL of the CAA record, or 8 hours, whichever is greater.<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">Add the following<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">Appendix A:<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal" style="margin-bottom:12.0pt">The following errata report has been held for document update for RFC6844, "DNS Certification Authority Authorization (CAA) Resource Record".<br><br>------------------------------<wbr>--------<br>You may review the report below and at:<br><a href="http://www.rfc-editor.org/errata/eid5065" target="_blank">http://www.rfc-editor.org/<wbr>errata/eid5065</a><br><br>------------------------------<wbr>--------<br>Status: Held for Document Update<br>Type: Technical<br><br>Reported by: Phillip Hallam-Baker <<a href="mailto:philliph@comodo.com" target="_blank">philliph@comodo.com</a>> Date Reported: 2017-07-10 Held by: EKR (IESG)<br><br>Section: 4<br><br>Original Text<br>-------------<br>   Let CAA(X) be the record set returned in response to performing a CAA<br>   record query on the label X, P(X) be the DNS label immediately above<br>   X in the DNS hierarchy, and A(X) be the target of a CNAME or DNAME<br>   alias record specified at the label X.<br><br>   o  If CAA(X) is not empty, R(X) = CAA (X), otherwise<br><br>   o  If A(X) is not null, and R(A(X)) is not empty, then R(X) =<br>      R(A(X)), otherwise<br><br>   o  If X is not a top-level domain, then R(X) = R(P(X)), otherwise<br><br>   o  R(X) is empty.<br><br>Corrected Text<br>--------------<br>   Let CAA(X) be the record set returned in response to performing a CAA<br>   record query on the label X, P(X) be the DNS label immediately above<br>   X in the DNS hierarchy, and A(X) be the target of a CNAME or DNAME<br>   alias record chain specified at the label X.<br><br>   o  If CAA(X) is not empty, R(X) = CAA (X), otherwise<br><br>   o  If A(X) is not null, and CAA(A(X)) is not empty, then R(X) =<br>      CAA(A(X)), otherwise<br><br>   o  If X is not a top-level domain, then R(X) = R(P(X)), otherwise<br><br>   o  R(X) is empty.<br><br>  Thus, when a search at node X returns a CNAME record, the CA will<br>  follow the CNAME record chain to its target. If the target label<br>  contains a CAA record, it is returned.<u></u><u></u></p></div></div><p class="MsoNormal" style="margin-bottom:12.0pt">  Otherwise, the CA continues the search at<br>  the parent of node X.<br><br>  Note that the search does not include the parent of a target of a<br>  CNAME record (except when the CNAME points back to its own path).<br><br>  To prevent resource exhaustion attacks, CAs SHOULD limit the length of<br>  CNAME chains that are accepted. However CAs MUST process CNAME<br>  chains that contain 8 or fewer CNAME records.<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal"><b>From:</b> Public [mailto:<a href="mailto:public-bounces@cabforum.org" target="_blank">public-bounces@<wbr>cabforum.org</a>] <b>On Behalf Of </b>Ryan Sleevi via Public<br><b>Sent:</b> Wednesday, August 23, 2017 10:04 AM<br><b>To:</b> Mads Egil Henriksveen <<a href="mailto:Mads.Henriksveen@buypass.no" target="_blank">Mads.Henriksveen@buypass.no</a>>; CA/Browser Forum Public Discussion List <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br><b>Subject:</b> Re: [cabfpub] FW: [Errata Held for Document Update] RFC6844 (5065)<u></u><u></u></p><div><div><p class="MsoNormal"> <u></u><u></u></p><div><p class="MsoNormal">As currently required by the Forum, as specified in 6844.<u></u><u></u></p><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Held for document update means just that - a future version of CAA may adjust the processing rules, consistent with the IETF process. It was not rejected - that is, there was sufficient consensus that it wasn't an outright bad idea - but it's not formally adopted.<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">However, this does give the Forum something somewhat-stable and reflecting broad-consensus and public participation to consider requiring in the interim, through a subsequent ballot, which would have the effect of 'relaxing' certain provisions of CAA. That is, should a member propose such a ballot, and should the Forum adopt it, this could be integrated - much as we have things such as non-critical nameConstraints to work around since-resolved vendor issues.<u></u><u></u></p></div></div></div></div><div><p class="MsoNormal"> <u></u><u></u></p><div><div><div><p class="MsoNormal">On Wed, Aug 23, 2017 at 5:31 AM, Mads Egil Henriksveen via Public <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>> wrote:<u></u><u></u></p></div></div><blockquote style="border:none;border-left:solid #cccccc 1.0pt;padding:0in 0in 0in 6.0pt;margin-left:4.8pt;margin-top:5.0pt;margin-right:0in;margin-bottom:5.0pt"><div><div><p class="MsoNormal">Hi<br><br>What does this mean for us who are in the process of implementing support for CAA?<br><br>Do we implement the CAA processing rules according to this errata or do we need to comply with the current version of RFC6844?<br><br>Regards<br>Mads<u></u><u></u></p></div></div><div><div><div><div><p class="MsoNormal" style="margin-bottom:12.0pt"><br>-----Original Message-----<br>From: Public [mailto:<a href="mailto:public-bounces@cabforum.org" target="_blank">public-bounces@<wbr>cabforum.org</a>] On Behalf Of Phillip via Public<br>Sent: tirsdag 22. august 2017 22:15<br>To: 'CA/Browser Forum Public Discussion List' <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br>Subject: [cabfpub] FW: [Errata Held for Document Update] RFC6844 (5065)<br><br>We have held for document update!<br><br><br>-----Original Message-----<br>From: RFC Errata System [mailto:<a href="mailto:rfc-editor@rfc-editor.org" target="_blank">rfc-editor@rfc-editor.<wbr>org</a>]<br>Sent: Tuesday, August 22, 2017 12:58 PM<br>To: <a href="mailto:philliph@comodo.com" target="_blank">philliph@comodo.com</a>; <a href="mailto:philliph@comodo.com" target="_blank">philliph@comodo.com</a>; <a href="mailto:rob.stradling@comodo.com" target="_blank">rob.stradling@comodo.com</a><br>Cc: <a href="mailto:ekr@rtfm.com" target="_blank">ekr@rtfm.com</a>; <a href="mailto:iesg@ietf.org" target="_blank">iesg@ietf.org</a>; <a href="mailto:pkix@ietf.org" target="_blank">pkix@ietf.org</a>; <a href="mailto:rfc-editor@rfc-editor.org" target="_blank">rfc-editor@rfc-editor.org</a><br>Subject: [Errata Held for Document Update] RFC6844 (5065)<br><br>The following errata report has been held for document update for RFC6844, "DNS Certification Authority Authorization (CAA) Resource Record".<br><br>------------------------------<wbr>--------<br>You may review the report below and at:<br><a href="http://www.rfc-editor.org/errata/eid5065" target="_blank">http://www.rfc-editor.org/<wbr>errata/eid5065</a><br><br>------------------------------<wbr>--------<br>Status: Held for Document Update<br>Type: Technical<br><br>Reported by: Phillip Hallam-Baker <<a href="mailto:philliph@comodo.com" target="_blank">philliph@comodo.com</a>> Date Reported: 2017-07-10 Held by: EKR (IESG)<br><br>Section: 4<br><br>Original Text<br>-------------<br>   Let CAA(X) be the record set returned in response to performing a CAA<br>   record query on the label X, P(X) be the DNS label immediately above<br>   X in the DNS hierarchy, and A(X) be the target of a CNAME or DNAME<br>   alias record specified at the label X.<br><br>   o  If CAA(X) is not empty, R(X) = CAA (X), otherwise<br><br>   o  If A(X) is not null, and R(A(X)) is not empty, then R(X) =<br>      R(A(X)), otherwise<br><br>   o  If X is not a top-level domain, then R(X) = R(P(X)), otherwise<br><br>   o  R(X) is empty.<br><br>Corrected Text<br>--------------<br>   Let CAA(X) be the record set returned in response to performing a CAA<br>   record query on the label X, P(X) be the DNS label immediately above<br>   X in the DNS hierarchy, and A(X) be the target of a CNAME or DNAME<br>   alias record chain specified at the label X.<br><br>   o  If CAA(X) is not empty, R(X) = CAA (X), otherwise<br><br>   o  If A(X) is not null, and CAA(A(X)) is not empty, then R(X) =<br>      CAA(A(X)), otherwise<br><br>   o  If X is not a top-level domain, then R(X) = R(P(X)), otherwise<br><br>   o  R(X) is empty.<br><br>  Thus, when a search at node X returns a CNAME record, the CA will<br>  follow the CNAME record chain to its target. If the target label<br>  contains a CAA record, it is returned.<u></u><u></u></p></div></div><p class="MsoNormal">  Otherwise, the CA continues the search at<u></u><u></u></p><div><div><p class="MsoNormal"><br>  the parent of node X.<br><br>  Note that the search does not include the parent of a target of a<br>  CNAME record (except when the CNAME points back to its own path).<br><br>  To prevent resource exhaustion attacks, CAs SHOULD limit the length of<br>  CNAME chains that are accepted. However CAs MUST process CNAME<br>  chains that contain 8 or fewer CNAME records.<br><br>Notes<br>-----<br>This is the updated errata to replace the ones previously deleted. It has been reviewed by all the parties concerned. Since this is a breaking change, this will have to go to hold for document update. The LAMPS working group is currently considering a more radical re-working of the CAA discovery scheme as a work item for its new charter.<br><br>I will be in Prague to discuss...<br><br>------------------------------<wbr>--------<br>RFC6844 (draft-ietf-pkix-caa-15)<br>------------------------------<wbr>--------<br>Title               : DNS Certification Authority Authorization (CAA) Resource Record<br>Publication Date    : January 2013<br>Author(s)           : P. Hallam-Baker, R. Stradling<br>Category            : PROPOSED STANDARD<br>Source              : Public-Key Infrastructure (X.509)<br>Area                : Security<br>Stream              : IETF<br>Verifying Party     : IESG<br><br>______________________________<wbr>_________________<br>Public mailing list<br><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/<wbr>listinfo/public</a><br>______________________________<wbr>_________________<br>Public mailing list<br><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/<wbr>listinfo/public</a><u></u><u></u></p></div></div></div></div></blockquote></div><p class="MsoNormal"> <u></u><u></u></p></div></div></div><p class="MsoNormal" style="margin-bottom:12.0pt"><span lang="NO-BOK"><br>______________________________<wbr>_________________<br>Public mailing list<br><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/<wbr>listinfo/public</a><u></u><u></u></span></p></blockquote></div><p class="MsoNormal"><span lang="NO-BOK"><u></u> <u></u></span></p></div></div></div></div></div></blockquote></div><br></div>