<div dir="ltr"><br><br><div class="gmail_quote"><div dir="ltr">On Fri, Aug 24, 2018 at 1:42 AM Dimitris Zacharopoulos via Servercert-wg <<a href="mailto:servercert-wg@cabforum.org">servercert-wg@cabforum.org</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">I'm not sure if this has been discussed before (sorry if I missed did),<br>
but I would like to bring up the fact that there might be Subscribers<br>
who suffer a Key Compromise (like the ones distributed with their own<br>
software or embedded within customer devices), who would be willing to<br>
leave the compromised Certificate/Key out there until they find a way to<br>
replace it (that might take more than 24 hours or 5 days). This is a<br>
case where the Subscriber weighs the impact of Availability in the<br>
security properties of the offered service more than Confidentiality.<br></blockquote><div><br></div><div>I don't agree that the Subscriber's wishes should trump the Relying Parties. Otherwise, we never would have deprecated SHA-1 or RSA-1024.</div><div> </div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
<br>
If a Subscriber doesn't want their Certificate revoked because that<br>
might have a significant impact/damage in their service Availability,<br>
isn't that something the ecosystem should respect and allow? Shouldn't<br>
this be treated on a case-by-case basis? I would be in favor of entering<br>
clauses in the BRs to allow more than 5 days before revocation for<br>
certain such cases, provided that the CA and the affected Subscriber<br>
would have to disclose the case to the CA/B Forum, as Ryan suggested in<br>
previous discussions. Just disclosing the fact should be enough. It<br>
would just be an additional option for the CAs and the Subscribers that<br>
would improve today's practices. As Jeremy demonstrated, there are<br>
several real cases today, where CAs try to extend the 24hours revocation<br>
window in order to balance that Availability risk for the Subscribers<br>
and -I might add- the Relying Parties that want to have access to the<br>
Subscriber's services. I believe there are RPs out there that value<br>
availability more than confidentiality. I'm not one of them, but... :)<br>
<br>
<br>
Thoughts?<br>
Dimitris.<br>
<br>
<br>
_______________________________________________<br>
Servercert-wg mailing list<br>
<a href="mailto:Servercert-wg@cabforum.org" target="_blank">Servercert-wg@cabforum.org</a><br>
<a href="http://cabforum.org/mailman/listinfo/servercert-wg" rel="noreferrer" target="_blank">http://cabforum.org/mailman/listinfo/servercert-wg</a><br>
</blockquote></div></div>