<div dir="ltr"><a href="https://github.com/sleevi/cabforum-docs/pull/17">https://github.com/sleevi/cabforum-docs/pull/17</a> so that you can comment and make additional modifications/edits.<br><div><br></div><div>In prepping this, I also spotted an issue with the CABF Bylaws that I'll feed back to Dimitris' ballot</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Apr 22, 2020 at 3:27 PM Tim Hollebeek <<a href="mailto:tim.hollebeek@digicert.com">tim.hollebeek@digicert.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div lang="EN-US"><div class="gmail-m_2890061728238440523WordSection1"><p class="MsoNormal">I think some people might have objections to “includes, but not limited to…” language, but I don’t.  I think it’s sometimes helpful when drafting intentionally broad criteria like this to make it explicitly clear that common cases like “WebTrust for CAs” or “ETSI …” is indeed “relevant to the issuance of S/MIME certificates”.  That could really cut down on the amount of confusion about who does or does not qualify for membership, and give members clarity when voting for the charter about who is and isn’t allowed to participate, while also potentially allowing participation by others with less common audit schemes.<u></u><u></u></p><p class="MsoNormal"><u></u> <u></u></p><p class="MsoNormal">That’s just a more verbose than usual way of me saying that yes, I would appreciate draft text along the lines you suggest.<u></u><u></u></p><p class="MsoNormal"><u></u> <u></u></p><p class="MsoNormal">-Tim<u></u><u></u></p><p class="MsoNormal"><u></u> <u></u></p><div style="border-top:none;border-right:none;border-bottom:none;border-left:1.5pt solid blue;padding:0in 0in 0in 4pt"><div><div style="border-right:none;border-bottom:none;border-left:none;border-top:1pt solid rgb(225,225,225);padding:3pt 0in 0in"><p class="MsoNormal"><b>From:</b> Ryan Sleevi <<a href="mailto:sleevi@google.com" target="_blank">sleevi@google.com</a>> <br><b>Sent:</b> Wednesday, April 22, 2020 3:15 PM<br><b>To:</b> Tim Hollebeek <<a href="mailto:tim.hollebeek@digicert.com" target="_blank">tim.hollebeek@digicert.com</a>><br><b>Cc:</b> CABforum1 <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br><b>Subject:</b> Re: [cabfpub] Update about S/MIME Charter<u></u><u></u></p></div></div><p class="MsoNormal"><u></u> <u></u></p><div><p class="MsoNormal">See my earliest comments on the first draft about this - <a href="https://cabforum.org/pipermail/public/2019-January/014517.html" target="_blank">https://cabforum.org/pipermail/public/2019-January/014517.html</a> shows the suggested edit and points to <a href="https://cabforum.org/pipermail/public/2019-January/014521.html" target="_blank">https://cabforum.org/pipermail/public/2019-January/014521.html</a><u></u><u></u></p><div><p class="MsoNormal"><u></u> <u></u></p><blockquote style="border-top:none;border-right:none;border-bottom:none;border-left:1pt solid rgb(204,204,204);padding:0in 0in 0in 6pt;margin-left:4.8pt;margin-right:0in"><p class="MsoNormal">Finally, regarding membership criteria, I'm curious whether it's necessary<br>to consider WebTrust for CAs / ETSI at all. For work like this, would it<br>make sense to merely specify the requirements for a CA as one that is<br>trusted for and actively issues S/MIME certificates that are accepted by a<br>Certificate Consumer. This seems to be widely inclusive and can be iterated<br>upon if/when improved criteria are developed, if appropriate.<br>There's also a bootstrapping issue for membership, in that until we know<br>who the accepted Certificate Consumers are, no CA can join as a Certificate<br>Issuer. I'm curious whether it makes sense to explicitly bootstrap this in<br>the charter or how we'd like to tackle this.<u></u><u></u></p></blockquote><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">In the current incarnation, it's to simply remove the scheme requirement, as follows:<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><p class="MsoNormal">A Certificate Issuer eligible for voting membership in the SMCWG MUST have a publicly-available audit report or attestation statement in accordance with a publicly-available audit or assessment scheme relevant to the issuance of S/MIME certificates. This includes, but is not limited to, ...:<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">Happy to propose draft text to this effect, if this is something that you're open to addressing.<u></u><u></u></p></div></div><p class="MsoNormal"><u></u> <u></u></p><div><div><p class="MsoNormal">On Wed, Apr 22, 2020 at 3:03 PM Tim Hollebeek <<a href="mailto:tim.hollebeek@digicert.com" target="_blank">tim.hollebeek@digicert.com</a>> wrote:<u></u><u></u></p></div><blockquote style="border-top:none;border-right:none;border-bottom:none;border-left:1pt solid rgb(204,204,204);padding:0in 0in 0in 6pt;margin-left:4.8pt;margin-right:0in"><div><div><p class="MsoNormal">Unintentional, and thanks for calling it out.  I don’t have strong feelings on the issue and agree broader participation is a useful goal, especially before requirements exist.  Certificate Consumers can, and I expect will, have their own opinions on what audits are appropriate and necessary once they adopt the requirements.  Do you have a proposed fix?<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">-Tim<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><div style="border-top:none;border-right:none;border-bottom:none;border-left:1.5pt solid blue;padding:0in 0in 0in 4pt"><div><div style="border-right:none;border-bottom:none;border-left:none;border-top:1pt solid rgb(225,225,225);padding:3pt 0in 0in"><p class="MsoNormal"><b>From:</b> Ryan Sleevi <<a href="mailto:sleevi@google.com" target="_blank">sleevi@google.com</a>> <br><b>Sent:</b> Sunday, April 19, 2020 4:41 PM<br><b>To:</b> Tim Hollebeek <<a href="mailto:tim.hollebeek@digicert.com" target="_blank">tim.hollebeek@digicert.com</a>>; CABforum1 <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br><b>Subject:</b> Re: [cabfpub] Update about S/MIME Charter<u></u><u></u></p></div></div><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal">Looking through the resolved and unresolved aspects, the lack of feedback from you meant we still have one unaddressed matter in the draft:<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal"><a href="https://github.com/cabforum/documents/pull/167/files#r392389077" target="_blank">https://github.com/cabforum/documents/pull/167/files#r392389077</a><u></u><u></u></p></div><div><p class="MsoNormal">- The proposed draft charter forbids any CA from participating unless they already have particular audit schemes, despite this document not yet existing nor being incorporated into audit frameworks. This has been repeatedly raised as an issue for the past year, and it would be useful to know whether or not this is intentionally not being addressed. It does seem that there doesn't need to be restrictions on CA membership until such a document is produced (see also <a href="https://cabforum.org/pipermail/public/2020-March/014917.html" target="_blank">https://cabforum.org/pipermail/public/2020-March/014917.html</a> )<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div></div></div></div></div></blockquote></div></div></div></div></blockquote></div>