¿Qué es la extensión de uso de clave?
La extensión de uso de clave (KUE) define cómo puede usarse un certificado. Puedes usar una extensión de uso de clave para restringir las operaciones que puede llevar a cabo la clave pública de un certificado. Por ejemplo, podrías crear un certificado que sirviera para firmar mensajes de correo electrónico, pero no para encriptarlos. El certificado de uso de clave extendida (EKU) es similar al KUE, pero define un certificado en cuanto a su “finalidad” (firmar respuestas de OCSP, identificar un cliente SSL, etc.). El EKU es más reciente y flexible que el KUE, por lo que a menudo se le considera “el” mecanismo de restricción del uso. Puedes configurar la extensión de uso de clave extendida más adelante en este asistente.

Puedes usar las extensiones de uso de clave siguientes:

Firma: selecciona esta opción cuando la clave pública del certificado se use con un mecanismo de firma digital para así admitir servicios de seguridad adicionales a la firma de certificados.

No rechazo: selecciona esta opción cuando la clave pública del certificado se utilice para verificar firmas digitales usadas para ofrecer un servicio de no rechazo que proteja ante la falsa denegación de alguna acción. El “No rechazo” garantiza que un grupo en disputa no pueda rechazar ni refutar la validez de una declaración o contrato. 

Codificación de clave: selecciona esta opción cuando la clave pública del certificado se utilice para encriptar una clave con cualquier fin. La codificación de clave se utiliza para el transporte y el empaquetado de claves (o la administración de claves).

Codificación de datos: selecciona esta opción cuando la clave pública del certificado se utilice para codificar datos de usuario que no sean claves criptográficas.

Contrato de clave: selecciona esta opción cuando la clave pública del certificado se use para el contrato de clave. El protocolo de contrato de clave (también conocido como protocolo de intercambio de claves) se utiliza cuando dos partes acuerdan usar una clave determinada en un sistema criptográfico de clave secreta, donde las claves pueden compartirse libremente y de forma segura en cualquier medio no seguro. (Por ejemplo, si se utilizan claves Diffie-Hellman para la administración de claves, se selecciona esta extensión.)

Firma de certificados: selecciona esta opción cuando la clave pública del certificado se utilice para verificar una firma en certificados con clave pública. Los certificados con esta extensión son certificados de autoridad certificadora (CA). Si se asigna esta extensión a un certificado, también debe establecerse la opción “Usar este certificado como autoridad certificadora” en la extensión de restricciones básicas (BCE). La BCE aparece más adelante en este asistente.

Firma CRL: selecciona esta opción cuando la clave pública del certificado se utilice para verificar una firma en una lista de revocación de certificados (CRL).

Sólo codificar: selecciona esta opción sólo cuando se establezca también la de “Contrato de clave”. Esto indica que la clave pública del certificado puede usarse para codificar datos mientras se lleva a cabo el contrato de clave.

Sólo decodificar: selecciona esta opción cuando se haya definido también la de “Contrato de clave”. Indica que la clave pública del certificado puede usarse para decodificar datos mientras se lleva a cabo el contrato de clave.

¿Qué significa que “Esta extensión es crítica”?
Esto se conoce también como el “indicador de gravedad”. Se trata de un indicador que informa al software que usa el certificado de si es seguro ignorar la extensión de uso de clave si no la reconoce. Un certificado será rechazado si el software no reconoce ninguna “extensión crítica”.