<div dir="ltr">To be clear, my suggestion was primarily motivated by a desire for the language to be unified between the two sections; the increased ease of removing that language later was a nice side-effect. But it's ultimately such a minor quibble about the text of this ballot that I don't have a vested interest one way or the other.</div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Wed, Nov 10, 2021 at 3:31 PM Wayne Thayer <<a href="mailto:wthayer@gmail.com">wthayer@gmail.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div dir="ltr"><div>I'm not strongly opposed to either of these proposed changes, but if the goal is to remember to clean up line 1319 after this is effective, then I don't think Aaron's suggestion is nearly as helpful as simply opening an issue against the repo to record this as a future task. I'm somewhat more concerned about tying TIm's suggestion to this particular ballot rather than having a general discussion about the approach of annotating the doc. I would ask the proposer to move forward with the ballot in its current state in the interest of giving CAs plenty of time to review and adapt to the broader change that becomes effective on June 1st.</div><div><br></div><div>Thanks,</div><div><br></div><div>Wayne<br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Tue, Nov 9, 2021 at 10:36 AM Tim Hollebeek <<a href="mailto:tim.hollebeek@digicert.com" target="_blank">tim.hollebeek@digicert.com</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><div lang="EN-US"><div><p class="MsoNormal">Would it make sense to put an invisible markdown comment next to these lines that should be removed in a future cleanup?<u></u><u></u></p><p class="MsoNormal"><u></u> <u></u></p><p class="MsoNormal"><span style="font-family:"Courier New"">[]: # ‘Cleanup ballot – after 2025-01-01’<u></u><u></u></span></p><p class="MsoNormal"><span style="font-family:"Courier New"">For certificates issued before January 1, 2025, the Certificate Subject SHALL be an Apple.  Effective January 1, 2025, the Certificate Subject SHALL be an orange.<u></u><u></u></span></p><p class="MsoNormal"><u></u> <u></u></p><p class="MsoNormal">This would make it easier to find them when cleanup ballots are being prepared.<u></u><u></u></p><p class="MsoNormal"><u></u> <u></u></p><p class="MsoNormal">-Tim<u></u><u></u></p><p class="MsoNormal"><u></u> <u></u></p><div style="border-color:currentcolor currentcolor currentcolor blue;border-style:none none none solid;border-width:medium medium medium 1.5pt;padding:0in 0in 0in 4pt"><div><div style="border-color:rgb(225,225,225) currentcolor currentcolor;border-style:solid none none;border-width:1pt medium medium;padding:3pt 0in 0in"><p class="MsoNormal"><b>From:</b> Validation <<a href="mailto:validation-bounces@cabforum.org" target="_blank">validation-bounces@cabforum.org</a>> <b>On Behalf Of </b>Aaron Gable via Validation<br><b>Sent:</b> Tuesday, November 9, 2021 11:48 AM<br><b>To:</b> Wayne Thayer <<a href="mailto:wthayer@gmail.com" target="_blank">wthayer@gmail.com</a>>; CABforum3 <<a href="mailto:validation@cabforum.org" target="_blank">validation@cabforum.org</a>><br><b>Subject:</b> Re: [cabf_validation] CRL Validity Interval Ballot<u></u><u></u></p></div></div><p class="MsoNormal"><u></u> <u></u></p><div><p class="MsoNormal">I would suggest that line 1327 (previously line 1319) be updated in the same fashion as line 1751 (previously line 1748):<u></u><u></u></p><div><p class="MsoNormal">"As stated in [Section 1.6.4](#164-conventions), a difference of 3,600 seconds shall..."<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">This clearly tags both of those lines as able to be removed in a future cleanup.<u></u><u></u></p></div></div><p class="MsoNormal"><u></u> <u></u></p><div><div><p class="MsoNormal">On Thu, Nov 4, 2021 at 9:26 AM Wayne Thayer via Validation <<a href="mailto:validation@cabforum.org" target="_blank">validation@cabforum.org</a>> wrote:<u></u><u></u></p></div><blockquote style="border-color:currentcolor currentcolor currentcolor rgb(204,204,204);border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin-left:4.8pt;margin-right:0in"><div><div><p class="MsoNormal">On today's Validation SC call, a concern was raised about the scope and timing of the addition to section 1.6.4 Conventions that describes the method to be used for computing time differences across the entire document. Since this has effects well beyond CRLs - for example, the lifetime of a random value - it was agreed that it should have a future effective date that allows time for CAs to become compliant. I've update the proposal to reflect the conclusion of this discussion:<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal"><a href="https://github.com/cabforum/servercert/compare/main...wthayer:ballot-SC52" target="_blank">https://github.com/cabforum/servercert/compare/main...wthayer:ballot-SC52</a><u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">Please have a look and reply with any problems that you find with the new language.<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">Note that line 1319 will become redundant on 1-June 2022 and should be removed in a future cleanup ballot.<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">Thanks,<u></u><u></u></p></div><div><p class="MsoNormal"><u></u> <u></u></p></div><div><p class="MsoNormal">Wayne<u></u><u></u></p></div></div><p class="MsoNormal"><u></u> <u></u></p><div><div><p class="MsoNormal">On Sun, Oct 31, 2021 at 1:08 PM Wayne Thayer via Validation <<a href="mailto:validation@cabforum.org" target="_blank">validation@cabforum.org</a>> wrote:<u></u><u></u></p></div><blockquote style="border-color:currentcolor currentcolor currentcolor rgb(204,204,204);border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin-left:4.8pt;margin-right:0in"><div><p class="MsoNormal">Good point Tim. I just updated the branch to state "at least every 367 days; and" to match section 4.9.10.<u></u><u></u></p></div><p class="MsoNormal"><u></u> <u></u></p><div><div><p class="MsoNormal">On Fri, Oct 29, 2021 at 1:23 PM Tim Hollebeek <<a href="mailto:tim.hollebeek@digicert.com" target="_blank">tim.hollebeek@digicert.com</a>> wrote:<u></u><u></u></p></div><blockquote style="border-color:currentcolor currentcolor currentcolor rgb(204,204,204);border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin-left:4.8pt;margin-right:0in"><div><div><p class="MsoNormal"><br>Line 1301: “i. once every 367 days; and”<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">I think that provision needs an “at least” as well.  I don’t think we expect CAs to issue CRLs once every 367 days.<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><p class="MsoNormal">-Tim<u></u><u></u></p><p class="MsoNormal"> <u></u><u></u></p><div style="border-style:none none none solid;border-width:medium medium medium 1.5pt;padding:0in 0in 0in 4pt;border-color:currentcolor currentcolor currentcolor blue"><div><div style="border-style:solid none none;border-width:1pt medium medium;padding:3pt 0in 0in;border-color:currentcolor"><p class="MsoNormal"><b>From:</b> Wayne Thayer <<a href="mailto:wthayer@gmail.com" target="_blank">wthayer@gmail.com</a>> <br><b>Sent:</b> Monday, October 18, 2021 8:29 PM<br><b>To:</b> Ryan Sleevi <<a href="mailto:sleevi@google.com" target="_blank">sleevi@google.com</a>><br><b>Cc:</b> Dimitris Zacharopoulos (HARICA) <<a href="mailto:dzacharo@harica.gr" target="_blank">dzacharo@harica.gr</a>>; CABforum3 <<a href="mailto:validation@cabforum.org" target="_blank">validation@cabforum.org</a>>; Tim Hollebeek <<a href="mailto:tim.hollebeek@digicert.com" target="_blank">tim.hollebeek@digicert.com</a>><br><b>Subject:</b> Re: [cabf_validation] CRL Validity Interval Ballot<u></u><u></u></p></div></div><p class="MsoNormal"> <u></u><u></u></p><div><p class="MsoNormal">Thank you Ryan! I merged in your changes: <a href="https://github.com/cabforum/servercert/compare/main...wthayer:ballot-SC52" target="_blank">https://github.com/cabforum/servercert/compare/main...wthayer:ballot-SC52</a> <u></u><u></u></p></div><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal">On Fri, Oct 15, 2021 at 2:12 PM Ryan Sleevi <<a href="mailto:sleevi@google.com" target="_blank">sleevi@google.com</a>> wrote:<u></u><u></u></p></div><blockquote style="border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin:5pt 0in 5pt 4.8pt;border-color:currentcolor currentcolor currentcolor rgb(204,204,204)"><div><p class="MsoNormal">Suggested edits in <a href="https://github.com/wthayer/servercert/pull/12/files" target="_blank">https://github.com/wthayer/servercert/pull/12/files</a> as PR to your branch<u></u><u></u></p></div><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal">On Fri, Oct 15, 2021 at 4:59 PM Wayne Thayer <<a href="mailto:wthayer@gmail.com" target="_blank">wthayer@gmail.com</a>> wrote:<u></u><u></u></p></div><blockquote style="border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin:5pt 0in 5pt 4.8pt;border-color:currentcolor currentcolor currentcolor rgb(204,204,204)"><div><div><p class="MsoNormal">How does this look?<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal"><a href="https://github.com/cabforum/servercert/compare/main...wthayer:ballot-SC52" target="_blank">https://github.com/cabforum/servercert/compare/main...wthayer:ballot-SC52</a><u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Thanks,<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Wayne<u></u><u></u></p></div></div><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal">On Thu, Oct 14, 2021 at 11:50 AM Dimitris Zacharopoulos (HARICA) <<a href="mailto:dzacharo@harica.gr" target="_blank">dzacharo@harica.gr</a>> wrote:<u></u><u></u></p></div><blockquote style="border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin:5pt 0in 5pt 4.8pt;border-color:currentcolor currentcolor currentcolor rgb(204,204,204)"><div><p class="MsoNormal" style="margin-bottom:12pt">That's my understanding too. If we are to create the "validity interval" definition, we must be clear that it is only applicable to CRLs and OCSP responses and that might be a bit challenging. Also change the term in 4.9.10 "validity interval" instead of "validity period".<br><br>Dimitris.<u></u><u></u></p><div><p class="MsoNormal">On 14/10/2021 7:34 μ.μ., Wayne Thayer wrote:<u></u><u></u></p></div><blockquote style="margin-top:5pt;margin-bottom:5pt"><div><div><p class="MsoNormal">My conclusion from this discussion is that the ballot should be updated to specify the validity interval of root CRLs and OCSP responses in days instead of months, with 397 days a SHOULD and 398 days a MUST. Ryan and Dimitris, is that correct?<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Shall I also create a definition for 'validity interval' and make it applicable to CRLs and OCSP responses?<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Thanks,<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Wayne<u></u><u></u></p></div></div><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal">On Wed, Oct 13, 2021 at 8:08 AM Ryan Sleevi <<a href="mailto:sleevi@google.com" target="_blank">sleevi@google.com</a>> wrote:<u></u><u></u></p></div><blockquote style="border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin:5pt 0in 5pt 4.8pt;border-color:currentcolor currentcolor currentcolor rgb(204,204,204)"><div><div><p class="MsoNormal"> <u></u><u></u></p></div><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal">On Wed, Oct 13, 2021 at 10:57 AM Dimitris Zacharopoulos (HARICA) <<a href="mailto:dzacharo@harica.gr" target="_blank">dzacharo@harica.gr</a>> wrote:<u></u><u></u></p></div><blockquote style="border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin:5pt 0in 5pt 4.8pt;border-color:currentcolor currentcolor currentcolor rgb(204,204,204)"><div><p class="MsoNormal" style="margin-bottom:12pt"> <u></u><u></u></p><div><p class="MsoNormal">On 13/10/2021 5:17 μ.μ., Ryan Sleevi wrote:<u></u><u></u></p></div><blockquote style="margin-top:5pt;margin-bottom:5pt"><div><div><p class="MsoNormal"> <u></u><u></u></p></div><p class="MsoNormal"> <u></u><u></u></p><div><div><p class="MsoNormal">On Wed, Oct 13, 2021 at 10:05 AM Dimitris Zacharopoulos (HARICA) <<a href="mailto:dzacharo@harica.gr" target="_blank">dzacharo@harica.gr</a>> wrote:<u></u><u></u></p></div><blockquote style="border-style:none none none solid;border-width:medium medium medium 1pt;padding:0in 0in 0in 6pt;margin:5pt 0in 5pt 4.8pt;border-color:currentcolor currentcolor currentcolor rgb(204,204,204)"><div><p class="MsoNormal">4.9.7 and 4.9.10 have a nextUpdate requirement for Root CRLs and OCSP responses, and this is set for 12 months. Do we want the same level of "accuracy" as the CRL/OCSP responses of Subordinate CAs? If we do not, then we can focus on language about just the CRLs/OCSP responses issued by "online" CAs, as Wayne has already done at the proposed ballot and there is no need to make further changes to the BRs. <br><br>If I understand your position, you believe we should be specific (to the second) only for specific requirements, such as those linked to RFC 5280 (validity of a certificate, validity period of a CRL/OCSP response) and not the other cases (related to request tokens, audit reports, etc). Is that accurate?<u></u><u></u></p></div></blockquote><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Got it. Definite misunderstanding :)<u></u><u></u></p></div><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">To try to rephrase:<u></u><u></u></p></div><div><ul type="disc"><li class="MsoNormal">Defining a day to be 86,400 seconds (with caveats) is appropriate for Section 1.6.4 if the desire is to make this ballot a broader "date interval" cleanup rather than just the CRL cleanup<u></u><u></u></li><li class="MsoNormal">This convention cannot address the "inclusive" aspect; that will need to remain appropriate for ASN.1 types (certificates, CRLs, OCSP)<u></u><u></u></li><li class="MsoNormal">The term "validity period" refers to certificates, and comes from X.509/RFC 5280. The term "validity interval" is a term we introduced for OCSP, because CRLs and OCSP responses don't necessarily have 'validity periods' (intervals, freshness, etc are all concepts used to refer to them) <u></u><u></u></li></ul><ul type="disc"><ul type="circle"><li class="MsoNormal">Taken together with the previous bullet: This means there still needs to be definitions specific to those, and within the specific sections (long-term, this would be the relevant profiles for certificates, CRLs, and OCSP, rather than the current distributed locations)<u></u><u></u></li></ul></ul><ul type="disc"><li class="MsoNormal">Procedural controls - request tokens, audit reports, etc - still make sense to define in days<u></u><u></u></li></ul><ul type="disc"><ul type="circle"><li class="MsoNormal">However, the choice of period - 90 days vs 93 days, 397 days vs 398 days, 31 days vs 32 days - were intentionally selected to <i>allow</i> CAs to have a fixed calendrical schedule, without risk of violation.<u></u><u></u></li><li class="MsoNormal">For example, if you have a 30 day period, then over a year, you will have shifted 5 to 6 days. You won't be able to, for example, "do something on the first of every month"<u></u><u></u></li><li class="MsoNormal">The "extra day" is to make sure that if you do it at 9am on the 1st of the month prior, you (hopefully unambiguously) have until midnight of the 1st of the current month, without running afoul<u></u><u></u></li></ul></ul><div><p class="MsoNormal"> <u></u><u></u></p></div></div></div></div></blockquote><p class="MsoNormal"><br>Got it. Do you have any guidance or preference for the offline CA CRLs/OCSP responses? Should that continue to be described in months or move into something more specific?<u></u><u></u></p></div></blockquote><div><p class="MsoNormal"> <u></u><u></u></p></div><div><p class="MsoNormal">Days was/is the suggestion. Months being 30 days or 31 days has the calendrical drift issue. So 367 days = 1 year/12 months. <u></u><u></u></p></div></div></div></blockquote></div></blockquote><p class="MsoNormal"> <u></u><u></u></p></div></blockquote></div></blockquote></div></blockquote></div></div></div></div></blockquote></div><p class="MsoNormal">_______________________________________________<br>Validation mailing list<br><a href="mailto:Validation@cabforum.org" target="_blank">Validation@cabforum.org</a><br><a href="https://lists.cabforum.org/mailman/listinfo/validation" target="_blank">https://lists.cabforum.org/mailman/listinfo/validation</a><u></u><u></u></p></blockquote></div><p class="MsoNormal">_______________________________________________<br>Validation mailing list<br><a href="mailto:Validation@cabforum.org" target="_blank">Validation@cabforum.org</a><br><a href="https://lists.cabforum.org/mailman/listinfo/validation" target="_blank">https://lists.cabforum.org/mailman/listinfo/validation</a><u></u><u></u></p></blockquote></div></div></div></div></blockquote></div>
</blockquote></div>