O que é a extensão de utilização expandida de chaves?
A extensão de utilização expandida de chaves (EKU) é muito semelhante à extensão de utilização de chaves (KUE), mas os valores de EKU são definidos em termos de “finalidade” (por exemplo, assinar respostas de OCSP, identificar um cliente SSL, etc.) e são facilmente expansíveis. A EKU é definida com identificadores de objetos denominados OIDs. Se a extensão EKU for omitida, todas as operações são potencialmente válidas.

Qual é a diferença entre KUE e EKU?
A EKU é mais recente e tende a ser considerada o mecanismo de restrição de utilização por excelência, ao passo que a KUE é normalmente considerada menos flexível. A KUE define‑se em termos de “operações”. A EKU define‑se em termos de “finalidade”. As EKUs são normalmente objeto de verificação ofensiva (ou seja, “têm de ter um determinado EKU OID”), ao passo que as KUEs são normalmente objeto de verificação defensiva (ou seja, “necessita do bit de não repudiação e pode ter o bit só de cifragem/decifragem”). Para uma Autoridade de Certificação, a lista de finalidades limita os tipos de certificados que a autoridade pode criar; para ser válida, uma operação tem de estar incluída na autoridade e nos certificados que assina.

O que significa “Esta extensão é de importância crítica”?
Também é conhecido como “indicador de importância”. É um marcador que indica ao software que utiliza o certificado, se é seguro ignorar a extensão de utilização expandida de chaves, se não a reconhecer. Um certificado é rejeitado, se o software não reconhecer uma “extensão de importância crítica”.