Wat is de uitbreiding voor sleutelgebruik?
De uitbreiding voor sleutelgebruik van een certificaat bepaalt hoe het certificaat kan worden gebruikt. Met deze uitbreiding kun je beperkingen instellen voor de bewerkingen die de publieke sleutel in een certificaat mag uitvoeren. Je kunt bijvoorbeeld een certificaat aanmaken waarmee wel e-mails kunnen worden ondertekend maar niet kunnen worden versleuteld. De uitbreiding voor uitgebreid sleutelgebruik lijkt op deze uitbreiding, maar definieert een certificaat in termen van doelen (zoals de ondertekening van OCSP-antwoorden of de identificatie van een SSL-client). De uitbreiding voor uitgebreid sleutelgebruik is nieuwer en beter uit te breiden dan de uitbreiding voor sleutelgebruik en wordt doorgaans gezien als hét mechanisme voor gebruiksbeperkingen. Je kunt de uitbreiding voor uitgebreid sleutelgebruik verderop in de assistent configureren.

Je kunt de volgende uitbreidingen voor sleutelgebruik gebruiken:

Ondertekening: Selecteer deze uitbreiding wanneer de publieke sleutel van het certificaat wordt gebruikt in combinatie met een mechanisme voor digitale handtekeningen om naast certificaatondertekening ook andere beveiligingsvoorzieningen te kunnen gebruiken.

Niet-afwijzing: Selecteer deze uitbreiding wanneer de publieke sleutel van het certificaat wordt gebruikt voor de controle van digitale handtekeningen waarmee een voorziening voor niet-afwijzing wordt geboden die ervoor zorgt dat een bepaalde handeling niet ten onrechte kan worden geweigerd. Niet-afwijzing zorgt ervoor dat een bepaalde partij in een geschil de geldigheid van een verklaring of contract niet kan afwijzen of weerleggen. 

Sleutelversleuteling: Selecteer deze uitbreiding wanneer de publieke sleutel van het certificaat wordt gebruikt om een sleutel voor een willekeurig doel te versleutelen. Sleutelversleuteling wordt gebruikt voor sleuteltransport en hybride versleuteling ("key wrapping" of sleutelbeheer).

Gegevensversleuteling: Selecteer deze uitbreiding wanneer de publieke sleutel van het certificaat wordt gebruikt voor het versleutelen van andere gebruikersgegevens dan cryptografische sleutels.

Sleutelovereenkomst: Selecteer deze uitbreiding wanneer de publieke sleutel van het certificaat wordt gebruikt voor een sleutelovereenkomst. Een sleutelovereenkomstprotocol (ook wel sleuteluitwisselingsprotocol genoemd) wordt gebruikt wanneer twee partijen overeenkomen een bepaalde sleutel te gebruiken in een cryptosysteem met geheime sleutels. In zo'n systeem kunnen sleutels op een veilige manier via elk soort onveilige media worden uitgewisseld. (Als er voor sleutelbeheer bijvoorbeeld Diffie-Hellman-sleutels worden gebruikt, wordt deze uitbreiding ingeschakeld.)

Certificaatondertekening: Selecteer deze uitbreiding wanneer de publieke sleutel van het certificaat wordt gebruikt om een handtekening te controleren op certificaten met een publieke sleutel. Certificaten met deze uitbreiding zijn CA-certificaten.  Als deze uitbreiding aan een certificaat wordt toegekend, moet tevens de optie 'Gebruik dit certificaat als certificaatautoriteit' worden ingesteld in de uitbreiding voor standaardbeperkingen. Deze uitbreiding komt verderop in de assistent aan bod.

CRL-ondertekening: Selecteer deze uitbreiding wanneer de publieke sleutel van het certificaat wordt gebruikt om een handtekening te controleren op een lijst met ingetrokken certificaten (CRL = Certificate Revocation List).

Alleen versleuteling: Selecteer deze uitbreiding alleen als de uitbreiding voor een sleutelovereenkomst ook is ingesteld.  Dit geeft aan dat de publieke sleutel van het certificaat tijdens het toepassen van de sleutelovereenkomst kan worden gebruikt om gegevens te versleutelen.

Alleen versleuteling opheffen:  Selecteer deze uitbreiding alleen als de uitbreiding voor een sleutelovereenkomst ook is ingesteld. Dit geeft aan dat de publieke sleutel van het certificaat tijdens het toepassen van de sleutelovereenkomst kan worden gebruikt om de versleuteling van gegevens op te heffen.

Wat betekent 'Deze uitbreiding is vereist'?
Dit wordt ook wel de "kritikaliteitsindicator" genoemd. De indicator bestaat uit een vlag waarmee aan software die het certificaat gebruikt, wordt doorgegeven of de uitbreiding voor sleutelgebruik kan worden genegeerd als deze niet wordt herkend. Een certificaat wordt geweigerd als een "vereiste uitbreiding" niet wordt herkend door de software.