<html xmlns:v="urn:schemas-microsoft-com:vml" xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40"><head><meta http-equiv=Content-Type content="text/html; charset=utf-8"><meta name=Generator content="Microsoft Word 15 (filtered medium)"><style><!--
/* Font Definitions */
@font-face
        {font-family:"Cambria Math";
        panose-1:2 4 5 3 5 4 6 3 2 4;}
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0in;
        margin-bottom:.0001pt;
        font-size:11.0pt;
        font-family:"Calibri",sans-serif;}
a:link, span.MsoHyperlink
        {mso-style-priority:99;
        color:blue;
        text-decoration:underline;}
a:visited, span.MsoHyperlinkFollowed
        {mso-style-priority:99;
        color:purple;
        text-decoration:underline;}
p.msonormal0, li.msonormal0, div.msonormal0
        {mso-style-name:msonormal;
        mso-margin-top-alt:auto;
        margin-right:0in;
        mso-margin-bottom-alt:auto;
        margin-left:0in;
        font-size:11.0pt;
        font-family:"Calibri",sans-serif;}
span.EmailStyle18
        {mso-style-type:personal-reply;
        font-family:"Calibri",sans-serif;
        color:windowtext;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-family:"Calibri",sans-serif;}
@page WordSection1
        {size:8.5in 11.0in;
        margin:1.0in 1.0in 1.0in 1.0in;}
div.WordSection1
        {page:WordSection1;}
--></style><!--[if gte mso 9]><xml>
<o:shapedefaults v:ext="edit" spidmax="1026" />
</xml><![endif]--><!--[if gte mso 9]><xml>
<o:shapelayout v:ext="edit">
<o:idmap v:ext="edit" data="1" />
</o:shapelayout></xml><![endif]--></head><body lang=EN-US link=blue vlink=purple><div class=WordSection1><p class=MsoNormal>Would be happy to see a ballot clarifying this.<o:p></o:p></p><p class=MsoNormal><o:p> </o:p></p><p class=MsoNormal>It would be an improvement if “not actually misissued, but treated as misissuance” became an ex-thing.  If people want certain things to not happen, there needs to be a discussion culminating in a successful ballot that expresses clear rules about what is or isn’t allowed, because the devil is often in the details.<o:p></o:p></p><p class=MsoNormal><o:p> </o:p></p><p class=MsoNormal>Arbitrary prohibitions based on interpretations gleaned from unofficial discussions do more harm than good.<o:p></o:p></p><p class=MsoNormal><o:p> </o:p></p><p class=MsoNormal>-Tim<o:p></o:p></p><p class=MsoNormal><o:p> </o:p></p><div style='border:none;border-left:solid blue 1.5pt;padding:0in 0in 0in 4.0pt'><div><div style='border:none;border-top:solid #E1E1E1 1.0pt;padding:3.0pt 0in 0in 0in'><p class=MsoNormal><b>From:</b> Public <public-bounces@cabforum.org> <b>On Behalf Of </b>Wayne Thayer via Public<br><b>Sent:</b> Wednesday, February 20, 2019 8:52 PM<br><b>To:</b> Geoff Keating <geoffk@apple.com>; CA/Browser Forum Public Discussion List <public@cabforum.org><br><b>Subject:</b> Re: [cabfpub] [cabfquest] BR 7.1.4.2.2.j Other Subject Attributes<o:p></o:p></p></div></div><p class=MsoNormal><o:p> </o:p></p><div><div><div><div><div><p class=MsoNormal>On Wed, Feb 20, 2019 at 3:26 PM Geoff Keating via Public <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>> wrote:<o:p></o:p></p></div><div><blockquote style='border:none;border-left:solid #CCCCCC 1.0pt;padding:0in 0in 0in 6.0pt;margin-left:4.8pt;margin-right:0in'><p class=MsoNormal style='margin-bottom:12.0pt'>My response would be that the OU could be a single hyphen minus, but this does not mean ‘absent’ or ’none provided’, it means the organization unit’s name is ‘-’.  (Perhaps other units are called ‘•’, ‘<span style='font-family:"Cambria Math",serif'>▷</span>’, and ‘<span style='font-family:"Cambria Math",serif'>◆</span>’.)<br><br>It’s definitely the case that 7.1.4.2.2j does not apply to 7.1.4.2.2i, this was intentional because we did not want to require CAs to verify the names of organization units.<o:p></o:p></p></blockquote><div><div><div><p class=MsoNormal>I agree with you but I also think this contradicts a lot of the discussions that have happened over the past few years, such as the one Dean referenced.<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>I also agree with Jeremy's statement that this is "the semi-official interpretation of the requirement based on unofficial discussion", but from a practical perspective, this has been treated as misissuance [1][2], so I think the conservative reponse I provided to Dean is appropriate.<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>This issue is related to the ambiguity in EVGL section 9.2.8, and if no one beats me to it, I will propose a ballot to clarify both of these sections.<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>- Wayne<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>[1] <a href="https://misissued.com/batch/5/">https://misissued.com/batch/5/</a><o:p></o:p></p></div><div><p class=MsoNormal>[2] <a href="https://bugzilla.mozilla.org/buglist.cgi?list_id=14577117&short_desc_type=allwordssubstr&short_desc=metadata&resolution=---&resolution=FIXED&resolution=INVALID&resolution=WONTFIX&resolution=INACTIVE&resolution=DUPLICATE&resolution=WORKSFORME&resolution=INCOMPLETE&resolution=SUPPORT&resolution=EXPIRED&resolution=MOVED&classification=Client%20Software&classification=Developer%20Infrastructure&classification=Components&classification=Server%20Software&classification=Other&query_format=advanced&component=CA%20Certificate%20Compliance" target="_blank">https://bugzilla.mozilla.org/buglist.cgi?list_id=14577117&short_desc_type=allwordssubstr&short_desc=metadata&resolution=---&resolution=FIXED&resolution=INVALID&resolution=WONTFIX&resolution=INACTIVE&resolution=DUPLICATE&resolution=WORKSFORME&resolution=INCOMPLETE&resolution=SUPPORT&resolution=EXPIRED&resolution=MOVED&classification=Client%20Software&classification=Developer%20Infrastructure&classification=Components&classification=Server%20Software&classification=Other&query_format=advanced&component=CA%20Certificate%20Compliance</a><o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div></div><p class=MsoNormal> <o:p></o:p></p></div><blockquote style='border:none;border-left:solid #CCCCCC 1.0pt;padding:0in 0in 0in 6.0pt;margin-left:4.8pt;margin-right:0in'><p class=MsoNormal>> On Feb 19, 2019, at 6:30 PM, <a href="mailto:sts07065692175@ezweb.ne.jp" target="_blank">sts07065692175@ezweb.ne.jp</a> wrote:<br>> <br>> Thank you for your confirmation.<br>> <br>> Is it possible that the value of OU of subject distinguished<br>> name in a BR subscriber certificate is a single hyphen minus,<br>> provided that the value satisfies conditions of 7.1.4.2.2.i?<br>> --<br>>  iida<br>> <br>>> Hello,<br>>> <br>>> Thank you for contacting the CA/B Forum. You are correct. 7.1.4.2.2.j<br>>> applies to Subject attributes other than those listed in .a through .i, and<br>>> the Baseline Requirements permit CAs to include Subject attributes that are<br>>> not defined in 7.1.4.2.2 (Note that different rules apply to EV).<br><br>_______________________________________________<br>Public mailing list<br><a href="mailto:Public@cabforum.org" target="_blank">Public@cabforum.org</a><br><a href="https://cabforum.org/mailman/listinfo/public" target="_blank">https://cabforum.org/mailman/listinfo/public</a><o:p></o:p></p></blockquote></div></div></div></div></div></div></div></body></html>