Què és l’extensió d’ús de clau?
L’extensió d’ús de clau (KUE - Key Usage Exension) defineix com es pot utilitzar un certificat. Pots utilitzar una extensió d’ús de clau per limitar les operacions que pot dur a terme la clau pública d’un certificat. Per exemple, es podria crear un certificat per signar missatges de correu electrònic, però no per encriptar-los. El certificat d’ús de clau ampliada (EKU - Extended Key Usage) és similar a la KUE, però defineix un certificat en termes de “finalitat” (per exemple, per signar respostes d’OCSP, identificar un client SSL, etc.). L’EKU és més recent i més ampliable que la KUE, per això, sovint es considera “el” mecanisme de restricció de l’ús. Pots configurar l’extensió d’ús de clau ampliada més endavant en aquest assistent.

Es poden utilitzar les següents extensions d’ús de clau:

Signatura: Selecciona aquesta opció quan s’utilitzi la clau pública del certificat en un mecanisme de signatura digital per admetre serveis de seguretat diferents de la firma de certificats.

Sense rebuig: Selecciona aquesta opció quan s’utilitzi la clau pública del certificat per comprovar signatures digitals que s’utilitzin per proporcionar un servei de no rebuig que protegeixi davant la falsa denegació d’alguna acció. L’opció “sense rebuig” garanteix que una part en una disputa no pugui refusar o refutar la validesa d’una declaració o d’un contracte.

Xifratge de clau: Selecciona aquesta opció quan la clau pública del certificat s’utilitzi per encriptar una clau per a qualsevol finalitat. El xifratge de clau s’utilitza per al transport de claus i l’empaquetat de claus (o gestió de claus).

Xifratge de dades: Selecciona aquesta opció quan la clau pública del certificat s’utilitzi per encriptar dades d’usuari que no siguin claus criptogràfiques.

Contracte de clau: Selecciona aquesta opció quan la clau pública del certificat s’utilitzi per al contracte de clau. El protocol de contracte de clau (que també es coneix com protocol d’intercanvi de claus) s’utilitza quan dues parts acorden utilitzar una clau determinada en un sistema criptogràfic de clau secreta, en què les claus es poden compartir lliurement i segura en un mitjà no segur. (Per exemple, quan s’utilitzen claus Diffie-Hellman per a la gestió de claus, es defineix aquesta extensió).

Firma de certificat: Selecciona aquesta opció quan la clau pública del certificat s’utilitzi per verificar una signatura en certificats de clau pública. Els certificats que tenen aquesta extensió són certificats d’autoritat de certificació (CA - Certificate Authority). Si s’assigna aquesta extensió a un certificat, s’ha de definir també l’opció “Utilitzar aquest certificat com a autoritat de certificació” a l’extensió de restriccions bàsiques (BCE - Basic Constraints Extension). La BCE s’explica més endavant en aquest assistent.

Firma CRL: Selecciona aquesta opció quan la clau pública del certificat s’utilitzi per verificar la signatura en una llista de revocació de certificats (CRL - Certificate Revocation List).

Només xifrar: Selecciona aquesta opció només quan s’hagi definit també l’opció de Contracte de clau. Indica que la clau pública del certificat es pot utilitzar per xifrar dades mentre es duu a terme un contracte de clau.

Només desxifrar: Selecciona aquesta opció quan s’hagi definit també l’opció de Contracte de clau. Indica que la clau pública del certificat es pot utilitzar per desxifrar dades quan mentre es duu a terme un contracte de clau.

Què vol dir “Aquesta extensió és crítica”?
Això es coneix també com “l’indicador de gravetat”. És un indicador que indica al programari que utilitza el certificat si resulta segur ignorar l’extensió d’ús de clau si no la reconeix. Si el programari no reconeix una “extensió crítica” el certificat es refusa.