O que significa Extensão de Uso de Chave Ampliado?
A Extensão de Uso de Chave Ampliado (EKU) é bastante semelhante à Extensão de Uso de Chave (KUE), a não ser pelo fato de seus valores serem definidos em termos de “objetivos” (por exemplo, assinatura de respostas OCSP, identificação de um cliente SSL e assim por diante) e por serem facilmente ampliáveis. A EKU é definida com identificadores de objetos chamados OIDs. Se a extensão EKU for omitida, todas as operações são potencialmente válidas.

Qual a diferença entre KUE e EKU?
A EKU é mais recente e tende a ser considerada “o” mecanismo de restrição de uso, enquanto a KUE normalmente é considerada menos flexível. A KUE é definida em termos de “operações”. A EKU é definida em termos de “objetivos”. As EKUs normalmente são verificadas de modo mais agressivo (por exemplo “deve possuir este OID de EKU”), enquanto as KUEs normalmente são verificadas defensivamente (por exemplo, “necessita possuir um bit de não-repúdio e pode possuir somente um bit de criptografia/descriptografia”). Para uma Autoridade de Certificação, a lista de objetivos limita quais tipos de certificados podem ser criados pela autoridade; para ser válida, uma operação deve ser incluída tanto na autoridade quanto nos certificados que ela assina.

O que significa “Esta extensão é crítica”?
Isso também é conhecido como “indicador de criticalidade”. É um sinalizador que instrui o software que usa o certificado se é seguro ignorar a Extensão de Uso de Chave Ampliado, se ele não a reconhece. Um certificado será rejeitado se o software não reconhecer uma “extensão crítica”.