Co to jest rozszerzenie poszerzonych zastosowań klucza?
Rozszerzenie poszerzonych zastosowań klucza (EKU) jest podobne do rozszerzenia zastosowań klucza (KUE), z tą różnicą, że wartości EKU określają cele (np. podpisywanie odpowiedzi OCSP, identyfikacja klienta SSL itp.) i pozwalają na łatwe rozszerzenie. EKU używa identyfikatorów obiektów (OID). Jeżeli rozszerzenie EKU zostanie pominięte, wszelkie operacje są uznawane za potencjalnie ważne. 

Jaka jest różnica pomiędzy KUE a EKU?
Mechanizm EKU jest nowszy i bardziej uniwersalny niż KUE, więc często uznawany jest za podstawowy sposób ograniczania zastosowań. KUE jest definiowane przy użyciu operacji, natomiast EKU — przy użyciu celów. EKU sprawdzane są zwykle metodą „ofensywną” (np. „ten EKU OID musi być dostępny”), natomiast KUE sprawdzane są zwykle metodą „defensywną” (np. „wymagany jest ustawiony bit niezaprzeczalności i może być ustawiony bit szyfrowania/odszyfrowania”). W przypadku urzędu certyfikacji, lista celów ogranicza rodzaje certyfikatów, jakie dany urząd może utworzyć. Aby operacja została uznana za ważną, musi być ona uwzględniona zarówno w certyfikacie urzędu, jak i w certyfikacie utworzonym przez ten urząd.

Co to znaczy, że „to rozszerzenie jest krytyczne”?
Takie rozszerzenie jest również określane jako „rozszerzenie rozstrzygające” lub „wskaźnik rozstrzygania”. Wskaźnik ten informuje oprogramowanie, które korzysta z certyfikatu, czy można bezpiecznie zignorować rozszerzenie zastosowań klucza, jeśli nie zostanie ono rozpoznane. Nierozpoznanie rozszerzenia oznaczonego jako krytyczne powoduje odrzucenie certyfikatu.