<div dir="ltr">See my earliest comments on the first draft about this - <a href="https://cabforum.org/pipermail/public/2019-January/014517.html">https://cabforum.org/pipermail/public/2019-January/014517.html</a> shows the suggested edit and points to <a href="https://cabforum.org/pipermail/public/2019-January/014521.html">https://cabforum.org/pipermail/public/2019-January/014521.html</a><div><br><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Finally, regarding membership criteria, I'm curious whether it's necessary<br>to consider WebTrust for CAs / ETSI at all. For work like this, would it<br>make sense to merely specify the requirements for a CA as one that is<br>trusted for and actively issues S/MIME certificates that are accepted by a<br>Certificate Consumer. This seems to be widely inclusive and can be iterated<br>upon if/when improved criteria are developed, if appropriate.<br>There's also a bootstrapping issue for membership, in that until we know<br>who the accepted Certificate Consumers are, no CA can join as a Certificate<br>Issuer. I'm curious whether it makes sense to explicitly bootstrap this in<br>the charter or how we'd like to tackle this.</blockquote><div><br></div><div>In the current incarnation, it's to simply remove the scheme requirement, as follows:</div><div><br></div>A Certificate Issuer eligible for voting membership in the SMCWG MUST have a publicly-available audit report or attestation statement in accordance with a publicly-available audit or assessment scheme relevant to the issuance of S/MIME certificates. This includes, but is not limited to, ...:</div><div><br></div><div>Happy to propose draft text to this effect, if this is something that you're open to addressing.</div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Apr 22, 2020 at 3:03 PM Tim Hollebeek <<a href="mailto:tim.hollebeek@digicert.com">tim.hollebeek@digicert.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div lang="EN-US"><div class="gmail-m_8339611089654714949WordSection1"><p class="MsoNormal">Unintentional, and thanks for calling it out.  I don’t have strong feelings on the issue and agree broader participation is a useful goal, especially before requirements exist.  Certificate Consumers can, and I expect will, have their own opinions on what audits are appropriate and necessary once they adopt the requirements.  Do you have a proposed fix?<u></u><u></u></p><p class="MsoNormal"><u></u> <u></u></p><p class="MsoNormal">-Tim<u></u><u></u></p><p class="MsoNormal"><u></u> <u></u></p><div style="border-top:none;border-right:none;border-bottom:none;border-left:1.5pt solid blue;padding:0in 0in 0in 4pt"><div><div style="border-right:none;border-bottom:none;border-left:none;border-top:1pt solid rgb(225,225,225);padding:3pt 0in 0in"><p class="MsoNormal"><b>From:</b> Ryan Sleevi <<a href="mailto:sleevi@google.com" target="_blank">sleevi@google.com</a>> <br><b>Sent:</b> Sunday, April 19, 2020 4:41 PM<br><b>To:</b> Tim Hollebeek <<a href="mailto:tim.hollebeek@digicert.com" target="_blank">tim.hollebeek@digicert.com</a>>; CABforum1 <<a href="mailto:public@cabforum.org" target="_blank">public@cabforum.org</a>><br><b>Subject:</b> Re: [cabfpub] Update about S/MIME Charter<u></u><u></u></p></div></div><p class="MsoNormal"><u></u> <u></u></p><div><div><p class="MsoNormal">Looking through the resolved and unresolved aspects, the lack of feedback from you meant we still have one unaddressed matter in the draft:<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal"><a href="https://github.com/cabforum/documents/pull/167/files#r392389077" target="_blank">https://github.com/cabforum/documents/pull/167/files#r392389077</a><u></u><u></u></p></div><div><p class="MsoNormal">- The proposed draft charter forbids any CA from participating unless they already have particular audit schemes, despite this document not yet existing nor being incorporated into audit frameworks. This has been repeatedly raised as an issue for the past year, and it would be useful to know whether or not this is intentionally not being addressed. It does seem that there doesn't need to be restrictions on CA membership until such a document is produced (see also <a href="https://cabforum.org/pipermail/public/2020-March/014917.html" target="_blank">https://cabforum.org/pipermail/public/2020-March/014917.html</a> )<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div></div></div></div></div></blockquote></div>