Was ist die Erweiterung „Schlüsselverwendung“?
Die Erweiterung „Schlüsselverwendung“ bestimmt, wofür ein Zertifikat verwendet werden kann. Die Erweiterung „Schlüsselverwendung“ schränkt die Vorgänge ein, die mit dem öffentlichen Schlüssel in einem Zertifikat durchgeführt werden können. Du kannst z. B. ein Zertifikat erstellen, mit dem du E-Mails signieren, aber nicht verschlüsseln kannst. Die Erweiterung „Erweiterte Schlüsselverwendung“ ähnelt der Erweiterung „Schlüsselverwendung“, sie definiert ein Zertifikat jedoch hinsichtlich des „Zwecks“ (z. B. kannst du es zum Signieren von OCSP-Antworten, Identifizieren von SSL-Clients usw. verwenden.). Die Erweiterung „Erweiterte Schlüsselverwendung“ ist aktueller und erweiterbarer als die Erweiterung „Schlüsselverwendung“ und wird deshalb oft als das bevorzugte Verfahren zum Einschränken der Verwendung erachtet. Die Erweiterung „Erweiterte Schlüsselverwendung“ kannst du später im Zertifikatsassistenten konfigurieren.

Es stehen die folgende Typen der Erweiterung „Schlüsselverwendung“ zur Verfügung:

Signatur: Wähle diese Option, wenn der öffentliche Schlüssel des Zertifikats mit einem digitalen Signaturverfahren verwendet wird, um alle anderen Sicherheitsdienste außer der Zertifikatssignierung zu unterstützen.

Unleugbarkeit: Wähle diese Option, wenn mit dem öffentlichen Schlüssel des Zertifikats digitale Signaturen überprüft werden, die einen Unleugbarkeitsdienst bereitstellen, mit dem sichergestellt wird, dass Aktionen nicht fälschlicherweise abgelehnt werden. Die Unleugbarkeit gewährleistet, dass eine Partei in einem Konflikt die Gültigkeit einer Aussage oder eines Vertrags nicht ablehnen oder beanstanden kann. 

Verschlüsseln von Schlüsseln: Wähle diese Option, wenn mit dem öffentlichen Schlüssel des Zertifikats ein Schlüssel für einen beliebigen Zweck verschlüsselt wird. Das Verschlüsseln von Schlüsseln wird für den Schlüsseltransport und Key Wrap (oder die Schlüsselverwaltung) verwendet.

Datenverschlüsselung: Wähle diese Option, wenn mit dem öffentlichen Schlüssel des Zertifikats alle anderen Benutzerdaten außer den kryptografischen Schlüsseln verschlüsselt werden.

Vereinbaren von Schlüsseln: Wähle diese Option, wenn der öffentliche Schlüssel des Zertifikats für das Vereinbaren von Schlüsseln verwendet wird. Das Protokoll „Vereinbaren von Schlüsseln“ (auch bekannt als „Key Exchange Protocol“) wird verwendet, wenn zwei Parteien sich auf einen Schlüssel in einem Verschlüsselungssystem mit geheimen Schlüsseln einigen, in dem Schlüssel über ein beliebiges unsicheres Medium gemeinsam und sicher genutzt werden können. (Diese Erweiterung wird z. B. festgelegt, wenn Diffie-Hellman-Schlüssel für die Schlüsselverwaltung verwendet werden.)

Zertifikatssignierung: Wähle diese Option, wenn mit dem öffentlichen Schlüssel des Zertifikats eine Signatur auf Zertifikaten mit öffentlichen Schlüsseln überprüft wird. Zertifikate mit dieser Erweiterung sind Zertifizierungsinstanzen. Wenn diese Erweiterung einem Zertifikat zugewiesen wird, muss auch die Option „Dieses Zertifikat als Zertifizierungsinstanz verwenden“ in der Erweiterung „Grundlegende Einschränkungen“ ausgewählt sein. Die Erweiterung „Grundlegende Einschränkungen“ wird später im Assistenten angezeigt.

CRL-Signierung: Wähle diese Option, wenn mit dem öffentlichen Schlüssel des Zertifikats eine Signatur auf einer „Liste für Zertifikatswiderrufung“ (Certificate Revocation List, CRL) überprüft wird.

Nur verschlüsseln: Wähle diese Option nur dann, wenn die Option „Vereinbaren von Schlüsseln“ auch ausgewählt ist. Sie zeigt an, dass mit dem öffentlichen Schüssel eines Zertifikats Daten während des Vereinbarens von Schlüsseln verschlüsselt werden können.

Nur entschlüsseln: Wähle diese Option, wenn „Vereinbaren von Schlüsseln“ auch ausgewählt ist. Sie zeigt an, dass mit dem öffentlichen Schlüssel eines Zertifikats Daten während des Vereinbarens von Schlüsseln entschlüsselt werden können.

Was bedeutet „Erweiterung ist kritisch“?
Auch bekannt als „Prüfindikator“. Diese Markierung signalisiert der Software, die das Zertifikat verwendet, ob es sicher ist, die Erweiterung „Schlüsselverwendung“ zu ignorieren, falls sie diese nicht erkennt. Ein Zertifikat wird abgelehnt, wenn die Software eine „kritische Erweiterung“ nicht erkennt.