<div dir="ltr">FWIW - I've created an "smime" label in GitHub so that anyone can find pending Mozilla Policy issues related to SMIME certificates  - <a href="https://github.com/mozilla/pkipolicy/labels/smime">https://github.com/mozilla/pkipolicy/labels/smime</a></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, Dec 29, 2020 at 9:36 AM Stephen Davidson <<a href="mailto:Stephen.Davidson@digicert.com">Stephen.Davidson@digicert.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">





<div style="overflow-wrap: break-word;" lang="EN-US">
<div class="gmail-m_-5462710718792559711WordSection1">
<p class="MsoNormal">Thank you Ben.  Noted for further SMCWG discussion:<u></u><u></u></p>
<p class="MsoNormal">- check proof of possession of private key<u></u><u></u></p>
<p class="MsoNormal">- CAA checking<u></u><u></u></p>
<p class="MsoNormal">Happy new year and best regards, Stephen<u></u><u></u></p>
<p class="MsoNormal"><u></u> <u></u></p>
<div style="border-color:rgb(225,225,225) currentcolor currentcolor;border-style:solid none none;border-width:1pt medium medium;padding:3pt 0in 0in">
<p class="MsoNormal"><b>From:</b> Smcwg-public <<a href="mailto:smcwg-public-bounces@cabforum.org" target="_blank">smcwg-public-bounces@cabforum.org</a>>
<b>On Behalf Of </b>Ben Wilson via Smcwg-public<br>
<b>Sent:</b> Tuesday, December 29, 2020 12:05 PM<br>
<b>To:</b> SMIME Certificate Working Group <<a href="mailto:smcwg-public@cabforum.org" target="_blank">smcwg-public@cabforum.org</a>><br>
<b>Subject:</b> [Smcwg-public] Require proof-of-possession for SMIME certificate issuance<u></u><u></u></p>
</div>
<p class="MsoNormal"><u></u> <u></u></p>
<div>
<div>
<p class="MsoNormal">The SMIME requirements document, which this WG is developing, should address the degree of verification needed to bind the email address to the key pair. The applicant and the CA should be required to use a secure process to establish that
 the entity controlling the email address also controls the public-private key pair. This is mentioned on the Mozilla GitHub policy issues board -
<a href="https://github.com/mozilla/pkipolicy/issues/215" target="_blank">https://github.com/mozilla/pkipolicy/issues/215</a> 
<u></u><u></u></p>
</div>
</div>
</div>
</div>

</blockquote></div>