<div dir="ltr">I think the order of proposed operations is inverted - we should resolve this in IETF first, and then the CA/Browser Forum, much like the other Erratum.</div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Jan 24, 2018 at 4:45 PM, Corey Bonnell via Public <span dir="ltr"><<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">





<div lang="EN-US" link="#0563C1" vlink="#954F72">
<div class="m_-4259538590098089935WordSection1">
<p class="MsoNormal"><span style="color:black">Hello,<u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black">I reported an ambiguity in the CAA RFC (RFC 6844) two weeks ago on the IETF LAMPS WG mailing list:
<a href="https://www.ietf.org/mail-archive/web/spasm/current/msg01104.html" target="_blank"><span style="color:#954f72">https://www.ietf.org/mail-<wbr>archive/web/spasm/current/<wbr>msg01104.html</span></a>. Tim and Quirin responded to the initial email (links to their responses are
 at the bottom of that page) with excellent feedback and comments.<u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black"> <u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black">This issue was further discussed on last week’s Validation WG call, where it was decided that this ambiguity be resolved with a “two-pronged” approach. Specifically, to address the ambiguity in the short term, we are proposing some
 clarification in the wording of BR section 3.2.2.8 to allow for CAA processing consistent with the intent of the RFC. To address this ambiguity in the long term, a IETF erratum will be filed to clarify the wording in RFC 6844-bis.<u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black"> <u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black">I am looking for two endorsers for this Draft ballot.<u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black"> <u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black">The following motion has been proposed by Corey Bonnell of Trustwave and endorsed by the following CA/B Forum member representatives: XXXX and YYYY to clarify handling of CAA Record Sets with no "issue"/"issuewild" property tag as
 described in the Ballot.<u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black"> <u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black">Purpose of this ballot:</span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black"> </span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black">RFC 6844 contains an ambiguity in regard to the correct processing of a non-empty CAA Resource Record Set that does not contain any issue property tag (and also does not contain any issuewild property
 tag in the case of a Wildcard Domain Name). It is ambiguous if a CA must not issue when such a CAA Resource Record Set is encountered, or if such a Resource Record Set is implicit permission to issue.</span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black"> </span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black">Given that the intent of the RFC is clear (such a CAA Resource Record Set is implicit permission to issue), we are proposing the following change to allow for CAA processing consistent with the intent
 of the RFC.</span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black"> </span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black">-- MOTION BEGINS --</span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black">This ballot modifies the “Baseline Requirements for the Issuance and Management of Publicly-Trusted Certificates” as follows, based upon Version 1.5.4:</span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black"> </span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black">In section 3.2.2.8, add this sentence:</span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black">CAs MAY treat a non-empty CAA Resource Record Set that does not contain any issue property tags (and also does not contain any issuewild property tags when performing CAA processing for a Wildcard Domain
 Name) as permission to issue, provided that the CAA Resource Record Set does not contain any<span class="m_-4259538590098089935apple-converted-space"> </span>unrecognized property with the critical flag set.</span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black"> </span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black">to the end of this paragraph:</span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black">When processing CAA records, CAs MUST process the issue, issuewild, and iodef property tags as specified in RFC 6844, although they are not required to act on the contents of the iodef property tag. Additional
 property tags MAY be supported, but MUST NOT conflict with or supersede the mandatory property tags set out in this document. CAs MUST respect the critical flag and not issue a certificate if they encounter an unrecognized property with this flag set.</span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black"> </span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="font-family:"Arial",sans-serif;color:black">-- MOTION ENDS --</span><span style="color:black"><u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black"> <u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black">Thanks,<u></u><u></u></span></p>
<p class="MsoNormal" style="font-variant-caps:normal;text-align:start;word-spacing:0px">
<span style="color:black">Corey<u></u><u></u></span></p>
<p class="MsoNormal"><span style="font-size:11.0pt"><u></u> <u></u></span></p>
<p class="MsoNormal"><span style="font-size:10.5pt;color:black"><u></u> <u></u></span></p>
<div>
<p class="MsoNormal"><b><span style="font-size:10.5pt;font-family:"Arial",sans-serif;color:#428fc5">Corey Bonnell</span></b><span style="font-size:10.5pt;color:#428fc5"><u></u><u></u></span></p>
</div>
<div>
<p class="MsoNormal"><span style="font-size:10.5pt;font-family:"Arial",sans-serif;color:gray">Senior Software Engineer</span><span style="font-size:10.5pt;color:black"><u></u><u></u></span></p>
</div>
<div>
<p class="MsoNormal"><span style="font-size:10.5pt;font-family:"Arial",sans-serif;color:gray">t: <a href="tel:(412)%20395-2233" value="+14123952233" target="_blank">+1 412.395.2233</a></span><span style="font-size:10.5pt;color:black"><u></u><u></u></span></p>
</div>
<div>
<p class="MsoNormal"><span style="font-size:10.5pt;color:black"><u></u> <u></u></span></p>
</div>
<div>
<p class="MsoNormal"><b><span style="font-size:10.5pt;font-family:"Arial",sans-serif;color:#428fc5">Trustwave</span></b><b><span style="font-size:10.5pt;font-family:"Arial",sans-serif;color:gray"> </span></b><span style="font-size:10.5pt;font-family:"Arial",sans-serif;color:gray">| SMART
 SECURITY ON DEMAND<a href="http://www.trustwave.com/" target="_blank"><span style="color:gray;text-decoration:none"><br>
www.trustwave.com</span></a><u></u><u></u></span></p>
<p class="MsoNormal"><span style="font-size:10.5pt;font-family:"Arial",sans-serif;color:gray"><u></u> <u></u></span></p>
</div>
<p class="MsoNormal"><i><span style="font-size:9.0pt;font-family:"Arial",sans-serif;color:gray">2017 Best Managed Security Service Winner – SC Media</span></i><u></u><u></u></p>
</div>
</div>

<br>______________________________<wbr>_________________<br>
Public mailing list<br>
<a href="mailto:Public@cabforum.org">Public@cabforum.org</a><br>
<a href="https://cabforum.org/mailman/listinfo/public" rel="noreferrer" target="_blank">https://cabforum.org/mailman/<wbr>listinfo/public</a><br>
<br></blockquote></div><br></div>