Qu’est-ce que l’extension d’utilisation de clé étendue?
L’extension d’utilisation de clé étendue (EKU) est similaire à l’extension d’utilisation de clé (KUE), sauf que les valeurs d’EKU sont définies pour atteindre un « but » (par exemple, signer des réponses OCSP, identifier un client SSL, etc.) et sont facilement extensibles.  L’EKU est définie à l’aide d’identifiants d’objet appelés OID.  Si l’extension EKU est omise, toutes les opérations sont potentiellement valides.

Quelle est la différence entre KUE et EKU?
L’EKU est plus récente et est souvent considérée comme LE mécanisme de restriction d’utilisation par excellence, tandis que la KUE est généralement considérée comme moins souple. La KUE est définie pour valider des « opérations » alors que l’EKU est définie pour atteindre un « but ». En règle générale, les EKU sont vérifiées de manière offensive (« je dois obtenir cette OID d’EKU »), tandis que les KUE sont vérifiées de manière défensive (« j’ai besoin d’un bit de non-répudiation et je peux avoir un bit de chiffrement/déchiffrement uniquement »). Pour une autorité de certification, la liste des buts limite les types de certificats que l’autorité peut créer. Pour être valide, une opération doit être incluse à la fois dans l’autorité et dans le certificat qu’elle signe.

Que signifie « Cette extension est critique »?
Il s’agit d’un indicateur qui annonce au logiciel utilisant le certificat s’il peut ignorer en toute sécurité l’extension d’utilisation de clé au cas où il ne la reconnaîtrait pas. Un certificat sera rejeté si le logiciel ne reconnaît pas une « extension critique ».