¿Qué es la extensión de uso de clave extendida?
La extensión de uso de clave extendida (EKU) es muy parecida a la extensión de uso de clave (KUE), salvo en que los valores de la EKU se definen en términos de "finalidad" (firmar respuestas de OCSP, identificar un cliente SSL, etc.) y pueden ampliarse fácilmente. La EKU se define mediante identificadores de objeto denominados OID. Si se omite la extensión EKU, todas las operaciones serán potencialmente válidas.

¿Cuál es la diferencia entre KUE y EKU?
La EKU es más reciente y tiende a considerarse el mecanismo de restricción del uso estándar, mientras que la KUE suele considerarse menos flexible. La KUE se define en términos de “operaciones”. La EKU se define en términos de “finalidad”. Las EKU suelen comprobarse de forma ofensiva (por ejemplo, “es necesario tener este OID de EKU”), mientras que las KUE suelen comprobarse de forma defensiva (por ejemplo, “es necesario tener un bit de no rechazo y se puede tener un bit de solo encriptación/desencriptación”). Para una autoridad certificadora, la lista de finalidades restringe los tipos de certificados que puede crear dicha autoridad; para ser válida, una operación debe estar incluida tanto en la autoridad como en el certificado que firma.

¿Qué significa que “Esta extensión es crítica”?
Esto se conoce también como el “indicador de gravedad”. Se trata de un indicador que informa al software que usa el certificado de si es seguro ignorar la extensión de uso de clave extendida en el caso de que no la reconozca. Un certificado será rechazado si el software no reconoce ninguna “extensión crítica”.