<br><div class="gmail_quote">2011/12/8 Daniel Kahn Gillmor <span dir="ltr"><<a href="mailto:dkg@fifthhorseman.net">dkg@fifthhorseman.net</a>></span><br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex;">
<div class="im">On 12/08/2011 12:44 PM, Ben Wilson wrote:<br>
> I think this group needs to define the problem more accurately.<br>
<br>
</div>I outlined the problem as i saw it several years ago, which is that the<br>
design of X.509 as a single-issuer certification is fundamentally flawed:<br>
<br>
 <a href="http://lair.fifthhorseman.net/~dkg/tls-centralization/" target="_blank">http://lair.fifthhorseman.net/~dkg/tls-centralization/</a></blockquote><div><br></div><div>How did you come to write that the software used by VeriSign and most CAs is based on OpenSSL and a few graphical front-ends such as TinyCA, without any expensive hardware?</div>
<div><br></div><div>I deployed VeriSign's software in 1998 in our facility, operated it, studied and reverse engineered some parts of it, until 2004, and really, there's no single piece of OpenSSL or GNUTLS inside it. The whole stuff is written with role separation in mind, multi-tier design, high-availability, and comes with high physical and procedural requirements. What has just been proposed by Symantec on the CABForum is exactly what they're doing since those early days (easy for them, since they bought VeriSign).</div>
<div>Since 2004, we're hosting our own product, written following the same (good) rules, with success.</div><div><br></div><div>I'm sure a lot of recognized CAs do the same, more or less.</div></div><div><br></div>
<div>The fact that DigiNotar, and now KPN have proven do be bad actors doesn't mean that all of the others are as bad.</div><div><br></div>-- <br>Erwann.<br>