Què és l’extensió d’ús de clau ampliada?
L’extensió d’ús de clau ampliada (EKU - Extended Key Usage Extension) és molt semblant a l’extensió d’ús de clau (KUE- Key Usage Extension), amb la diferència que els valors d’EKU es defineixen en termes de “finalitat” (per exemple, signar respostes d’OCSP, identificar un client SSL, etc.), i que es poden ampliar fàcilment. L’EKU es defineix mitjançant identificadors d’objecte anomenats OID. Si s’omet l’extensió EKU, totes les operacions seran potencialment vàlides.

Quina diferència hi ha entre la KUE i l’EKU?
L’EKU és més recent i tendeix a considerar-se “el” mecanisme de restricció d’ús, mentre que la KUE normalment es considera menys flexible. La KUE es defineix en termes “d’operacions”. L’EKU es defineix en termes de “finalitat”. Les EKU normalment es comproven de manera ofensiva (és a dir, “ha de tenir aquest OID d’EKU”), mentre que les KUE normalment es comproven de manera defensiva (és a dir, “ha de tenir un bit sense rebuig i pot tenir un bit de només encriptació/desencriptació”). Per a una autoritat de certificació, la llista de finalitats limita els tipus de certificats que pot crear l’autoritat de certificació; per tal de ser vàlida, una operació ha d’estar inclosa tant a l’autoritat de certificació com als certificats que signa.

Què vol dir “Aquesta extensió és crítica”?
Això es coneix també com “l’indicador de gravetat”. És un indicador que indica al programari que utilitza el certificat si resulta segur ignorar l’extensió d’ús de clau ampliada si no la reconeix. Si el programari no reconeix una “extensió crítica”, el certificat es refusa.